VPN アダプターのプロミスキャスモードが接続を止める

Wireshark は Ethernet インターフェースでは完璧に動作しますが、VPN アダプターではキャプチャを始めた瞬間にトンネルがトラフィックを通さなくなります。キャプチャウィンドウは埋まり続けるので、ツールは健全に見えるのに、その下の接続は死んでいます。原因はたいていプロミスキャスモードで、持っていないセグメント上の全フレームを要求されたトンネルドライバーが、何も出て行かない状態に陥ることがあるからです。

まずそのオプションを切り、それから本当に見る必要がある層を決めてください。

二つのアダプター、二つの異なる見え方

VPN クライアントは通常、暗号化された転送を担う物理側と、復号された内部トラフィックを担う仮想側という二つのインターフェースを提示します。両者は別の問いに答えます。物理側のキャプチャは端点、ポート、パケットサイズを示し、仮想側はトンネルが届けるアプリケーションプロトコルを示します。どちらの問いを立てているかを知らずに一方を選ぶと、キャプチャが無駄になります。

どちらの見え方も他方の上位集合ではなく、一度のキャプチャが二つの問いの両方に答えることはめったにありません。

インターフェースは、PPP 形式のクライアントが自身のアダプターを Ethernet デバイスとして提示することがあり表示名からは選んだ層が分からないため、一覧の順番ではなく問いから選んでください。ゲートウェイやミラーポートでのキャプチャは、転送後の経路を示す第三の見え方を加え、非対称ルーティングとフィルタリングが見えるのはそこです。

プロミスキャスモードがトンネルアダプターを壊す理由

プロミスキャスモードは、共有 Ethernet セグメントでは意味がありポイントツーポイントのトンネルではほとんど意味のない、ホスト宛てでないフレームの配信をドライバーに要求します。要求を穏当に扱うドライバーもあれば、送信トラフィックをキューから取り出さなくなるものもあり、インターフェースは静かにブラックホールになります。キャプチャは届くものを記録し続けるので、ファイルは正常なリンクの証拠のように見えます。ファイルが示すものとインターフェースが実際に行ったことの間のこのずれが、罠の全体です。

最初のパケットの前にオプションを切り、キャプチャフィルターを狭く保ち、小さなバッファーを使ってください。混雑したインターフェースで大きなリングバッファーを使うと、まさに重要なフレームが落ち、障害のあった場所だけが欠けたキャプチャになります。

キャプチャの途中でリンクが止まったら、いったん停止して回復を観察してください。その一度の観察がキャプチャの副作用とトンネル本来の障害を分け、どのフィルター調整よりも短時間で済みます。

IPsec キャプチャを読めるようにする

IPsec キャプチャは、ESP がペイロードを暗号化するためそれだけでは読めません。セッションキーを渡したとき、またはそれを生んだ IKE の交渉を追えるときに Wireshark は復号でき、つまりハンドシェイクが同じファイルに入っている必要があります。

キーは失効します。両者が鍵を更新した後、古い鍵の組はキャプチャの途中で使えなくなり、結果は時間の境界ではなくデコーダーの不具合のように見えます。

無関係な出所から素材を取り込むのではなくベンダーが文書化した鍵の形式に従い、一部のプラットフォームはこの作業自体を完全に拒否すると想定しておいてください。ゲートウェイが鍵を渡さずキャプチャも許さない場合は、あなたの位置からペイロードを検査できないことを受け入れてください。残る証拠は端点のログとインターフェースのカウンターで、ルーティングの問いにはたいていそれで足ります。

安全に共有できるキャプチャ

内部のキャプチャはログというより資格情報の抜き出しに近いものです。誰も読まないという前提で書かれたプロトコルの名前、アドレス、平文を含むことがあり、機密なのは分析結果ではなくファイルそのものになります。

ホストとネットワークがキャプチャを許されたものであることを確かめ、インターフェースとフィルターの両方を結果とともに記録し、セッションを問いに答える数分に限り、終わったらファイルを削除してください。共有が必要なら、まず流れを説明するかペイロードを取り除いてください。

そのうえで元の利用者の作業をくり返してください。パケットが届いたことを示すキャプチャはアプリが答えを受け入れた証拠ではなく、この二つの違いこそが本当の障害のある場所であることがほとんどです。