Mode promiscuous pada adaptor VPN mematikan koneksi
Perekaman pada adaptor terowongan dapat menghentikan penerusannya. Matikan mode promiscuous, pilih lapisan yang menjawab pertanyaan, dan perlakukan berkas itu sebagai rahasia.
Wireshark berperilaku sempurna pada antarmuka Ethernet lalu, pada adaptor VPN, terowongan berhenti meneruskan lalu lintas pada saat perekaman dimulai. Jendela perekaman terus terisi, jadi alat itu tampak sehat sementara koneksi di bawahnya mati. Mode promiscuous adalah penyebab umum, karena pengandar terowongan yang diminta setiap bingkai pada segmen yang tidak dimilikinya bisa berakhir dalam keadaan yang tidak ada apa pun keluar.
Matikan opsi itu lebih dulu, lalu putuskan lapisan mana yang benar-benar perlu Anda lihat.
Dua adaptor, dua tampilan berbeda
Klien VPN biasanya menyajikan dua antarmuka: yang fisik yang membawa angkutan terenkripsi, dan yang virtual yang membawa lalu lintas dalam yang didekripsi. Keduanya menjawab pertanyaan berbeda. Perekaman fisik menampilkan titik akhir, porta, dan ukuran paket, sedangkan yang virtual menampilkan protokol aplikasi sebagaimana terowongan mengirimkannya. Memilih salah satu tanpa tahu pertanyaan apa yang diajukan membuang perekaman itu.
Tidak ada tampilan yang menjadi superset tampilan lain, dan satu perekaman jarang menjawab kedua pertanyaan sekaligus.
Pilih antarmuka berdasarkan pertanyaan, bukan urutan daftar, karena klien bergaya PPP dapat menyajikan adaptornya sebagai perangkat Ethernet dan nama tampilan tidak akan memberi tahu Anda lapisan mana yang dipilih. Perekaman pada gateway atau porta cermin menambah tampilan ketiga, yang memperlihatkan jalur setelah penerusan, dan di sanalah perutean asimetris serta penyaringan menjadi terlihat.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Mengapa mode promiscuous merusak adaptor terowongan
Mode promiscuous meminta pengandar mengirimkan bingkai yang tidak dialamatkan ke host, yang masuk akal pada segmen Ethernet bersama dan sangat sedikit masuk akal pada terowongan titik ke titik. Sebagian pengandar menangani permintaan itu dengan tenang; yang lain berhenti mengeluarkan lalu lintas kirim dari antrean, dan antarmuka diam-diam menjadi lubang hitam. Perekaman tetap mencatat apa yang datang, jadi berkas itu tampak seperti bukti tautan yang bekerja. Celah antara apa yang ditunjukkan berkas dan apa yang dilakukan antarmuka itulah seluruh jebakannya.
Matikan opsi sebelum paket pertama, jaga filter perekaman tetap sempit, dan gunakan penyangga kecil. Penyangga cincin besar pada antarmuka yang sibuk menjatuhkan justru bingkai yang penting, sehingga menghasilkan perekaman yang lengkap di mana-mana kecuali di tempat kerusakannya.
Jika tautan macet di tengah perekaman, hentikan dan amati pemulihannya. Satu pengamatan itu memisahkan efek samping perekaman dari kerusakan terowongan yang sebenarnya, dan itu memakan waktu lebih sedikit daripada penyesuaian filter apa pun.
Membuat perekaman IPsec dapat dibaca
Perekaman IPsec sendirian tidak dapat dibaca, karena ESP mengenkripsi muatan. Wireshark dapat mendekodenya bila Anda menyediakan kunci sesi, atau bila ia dapat mengikuti negosiasi IKE yang menghasilkannya, yang berarti jabat tangan harus ada di berkas yang sama.
Kunci kedaluwarsa. Setelah kedua pihak memperbarui kunci, satu set kunci lama berhenti bekerja di tengah perekaman, dan hasilnya tampak seperti bug pendekode alih-alih batas waktu.
Ikuti format kunci terdokumentasi vendor alih-alih mengimpor bahan dari sumber yang tidak terkait, dan perkirakan sebagian platform akan menolak seluruh alur kerja itu. Bila gateway tidak menyerahkan kunci atau tidak mengizinkan perekaman, terimalah bahwa muatan tidak dapat diperiksa dari tempat Anda. Log titik akhir dan penghitung antarmuka adalah bukti yang tersisa, dan biasanya cukup untuk pertanyaan perutean.
Perekaman yang dapat Anda bagikan dengan aman
Perekaman dalam lebih dekat ke pembuangan kredensial daripada ke log. Itu dapat memuat nama, alamat, dan teks polos dari protokol yang ditulis dengan anggapan tidak ada yang akan membacanya, yang menjadikan berkas itu sendiri artefak sensitif, bukan analisisnya.
Pastikan host dan jaringan adalah yang boleh Anda rekam, catat antarmuka maupun filter bersama hasilnya, batasi sesi pada beberapa menit yang menjawab pertanyaan, dan hapus berkas setelah selesai. Jika harus dibagikan, jelaskan alirannya atau buang muatannya lebih dulu.
Lalu ulangi tugas pengguna yang semula. Perekaman yang membuktikan sebuah paket tiba bukan bukti bahwa aplikasi menerima jawabannya, dan perbedaan antara keduanya biasanya adalah tempat kerusakan sebenarnya.