Ping-ის დაკარგვა VPN-ზე: დაჯგუფეთ Echo მოთხოვნები პროცენტამდე

ერთი ჩაწერა შეიცავს ექვს Echo მოთხოვნას და სამ პასუხს, და ვიღაც ბილეთში წერს 50 პროცენტ პაკეტის დაკარგვას. ეს რიცხვი შეიძლება მართალი იყოს ჩაწერისთვის და მცდარი გვირაბისთვის. ექვსი მოთხოვნა შეიძლება ეკუთვნოდეს ორ სხვადასხვა საუბარს ორი სხვადასხვა მიწოდების ხელშეკრულებით. დაჯგუფეთ ისინი გაყოფამდე და თანაფარდობა შეწყვეტს ანგარიშის საინტერესო ნაწილად ყოფნას.

ნაბიჯი 1: გაყავით ნაკადები წყაროსა და დანიშნულების მიხედვით

Echo მოთხოვნა ატარებს წყაროსა და დანიშნულებას, და ეს ორი ველი განსაზღვრავს, რომელ საუბარს ეკუთვნის ის. კარიბჭის მიერ შექმნილი ზონდი იყენებს კარიბჭის გვირაბის მისამართს, ხოლო LAN ჰოსტის სახელით გადაგზავნილი ზონდი ინარჩუნებს იმ ჰოსტის მისამართს. შორეულ მხარეს შეიძლება ჰქონდეს დაბრუნების მარშრუტი ერთისთვის და არა მეორისთვის, რაც ორ ჯგუფს სხვადასხვაგვარად აქცევს იმ მიზეზებით, რომლებსაც გვირაბთან კავშირი არ აქვს.

დაყავით ჩაწერა ამ ველებზე სანამ რამეს დათვლით, და დატოვეთ დანიშნულება გასაღების ნაწილად. ორი ნაკადი სხვადასხვა პარტნიორისკენ შეუდარებელია მაშინაც კი, როცა ისინი წყაროს იზიარებენ.

ჩაწერეთ ჯგუფები მათი რაოდენობებით, რადგან შემდეგი ნაბიჯი გადაწყვეტს, რომელი პასუხები რომელ ჯგუფს ეკუთვნის. ჯგუფი სამი მოთხოვნით და შესაბამისი პასუხის გარეშე არის აღმოჩენა. ჯგუფი სამი მოთხოვნით და სამი პასუხით არის საბაზისო ხაზი.

ნაბიჯი 2: შეადარეთ იდენტიფიკატორისა და მიმდევრობის მიხედვით

RFC 792-ში Echo ფორმატი ატარებს იდენტიფიკატორსა და მიმდევრობის ნომერს, და ისინი განიხილება როგორც ველები, რომლებიც პასუხს მის მოთხოვნას უწყვილებს. ორივე საჭიროა ამ სამუშაოსთვის. მხოლოდ მიმდევრობის ნომერი არ არის უნიკალური, რადგან სხვადასხვა გამომგზავნს ან პროცესს შეუძლია იგივე მნიშვნელობა გამოიყენოს ერთი ჩაწერის ფანჯარაში. იდენტიფიკატორი ავიწროებს გამომგზავნს, მიმდევრობა კი პოზიციას, და წყვილი ერთად ხდის დამთხვევას დასაცავს.

პასუხი აბრუნებს თავისი მოთხოვნის მისამართების მიმართულებას, ამიტომ დამთხვევა არის მოთხოვნა-პასუხის წყვილი და არა ორი იდენტური კორტეჟი. შეადარეთ მოთხოვნის წყარო პასუხის დანიშნულებას და მოთხოვნის დანიშნულება პასუხის წყაროს, შემდეგ დაადასტურეთ, რომ იდენტიფიკატორი და მიმდევრობა ემთხვევა.

შეინარჩუნეთ დაკვირვების ფანჯარაც, რადგან გრძელი ჩაწერა შეიძლება შეიცავდეს ორივე ველის კანონიერ ხელახალ გამოყენებას. ფანჯრის ერთ აფეთქებამდე შეკვეცა აშორებს ამ გაურკვევლობის დიდ ნაწილს. ის ასევე ხდის დათვლებს გამრავლებადს ყველასთვის, ვინც ბილეთს კითხულობს.

tshark -r capture.pcap -Y 'icmp.type == 8' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq
tshark -r capture.pcap -Y 'icmp.type == 0' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq

ნაბიჯი 3: შეადარეთ კორტეჟები იმავე საზღვარზე

თუ ქსელის მისამართების თარგმნა ჩაწერის წერტილსა და პარტნიორს შორისაა, მოთხოვნისა და პასუხის მისამართები დიზაინით განსხვავდება. შეადარეთ კორტეჟები ერთ საზღვარზე, ან ღიად ატარეთ ასახვა, რომ სხვაობა იყოს გათვალისწინებული. თარგმნამდე მოთხოვნების თარგმნის შემდეგ პასუხებთან შერევა ქმნის ისეთ შეუსაბამობებს, რომლებიც მავთულზე არასდროს ყოფილა.

გადაწყვიტეთ საზღვარი სანამ დათვლას დაიწყებთ, და მიუთითეთ ანგარიშში, რათა შემდეგმა ადამიანმა შეძლოს დაჯგუფების გამრავლება. ერთი ჩაწერა კლიენტის მხარეს და მეორე სერვერის მხარეს ორი სხვადასხვა საზღვარია. თითოეული პასუხობს სხვადასხვა კითხვას იმის შესახებ, სად გაქრა პასუხი.

თარგმნილი ზონდების ჯგუფი მემკვიდრეობით იღებს თარგმნის მოწყობილობის საკუთარ მდგომარეობას, რაც შეიძლება იყოს ნამდვილი მიზეზი იმისა, რომ პასუხი არასდროს მოდის. შეამოწმეთ ეს მდგომარეობა სანამ მის მიღმა არსებულ გზას დაადანაშაულებთ.

tcpdump -ni any icmp and host 10.90.0.1 -c 20
tshark -r capture.pcap -Y 'icmp' -T fields -e ip.src -e ip.dst -e ip.ttl | head -20

ნაბიჯი 4: თქვით, რა შეიძლება და რა არ შეიძლება დაამტკიცოს ჩაწერამ

დაკვირვებული უფსკრული არ ამტკიცებს, რომ შორეული ჰოსტი გაჩუმდა. ჩაწერის წერტილმა შეიძლება მხოლოდ ერთი მიმართულება დაინახოს, ფილტრმა პასუხი ჩამოაგდოს, ან ბუფერმა ფანჯრის განმავლობაში გადაივსოს. თითოეული მათგანი იგივე არყოფნას და სხვადასხვა დასკვნას იძლევა.

ჩაწერეთ ჩაწერის ადგილი, ფილტრის გამოსახულება და ჩამოგდების მრიცხველები დათვლების გვერდით, რადგან მათ გარეშე თანაფარდობა აუდიტს არ ექვემდებარება. სწორედ ეს სამი ხაზი ხდის რიცხვს მოგვიანებით დასაცავს.

შემდეგ გამოყავით, რას ადგენს დაკვირვება და რას მიანიშნებს ის, ორ წინადადებაში ერთის ნაცვლად. პირველი წინადადება ამბობს დათვლებსა და საზღვარს. მეორე ამბობს ჰიპოთეზას და რა დაადასტურებს მას.

როცა კითხვაა, ჩამოგდის თუ არა კონკრეტული გზა პაკეტებს, გამოკვეთილი წყაროს მისამართის მქონე კონტროლირებადი ზონდი უფრო ძლიერი მტკიცებულებაა, ვიდრე შერეული ტრაფიკის პასიური დათვლა. გაგზავნეთ იგი იმავე მანქანიდან, იმავე დროს, იმავე პარტნიორთან. შეცვალეთ ერთი ცვლადი და შედარება ძალაში რჩება.

მოახსენეთ ჯგუფები და შემდეგი საზღვარი

ანგარიშს აქვს სამი ხაზი: ჯგუფის განსაზღვრა, დამთხვეული დათვლები თითოეულ ჯგუფში და საზღვარი, რომელზეც შედარება გაკეთდა. მაშინ მკითხველს შეუძლია დაინახოს, რომ ერთმა ჯგუფმა სრულად უპასუხა, მეორემ კი არა, რაც მიუთითებს მარშრუტზე ან ნებართვაზე და არა შემთხვევით დაკარგვაზე.

მიამაგრეთ ჩაწერის ფაილი და ფილტრის გამოსახულებები, რათა დაჯგუფება გამრავლებადი იყოს. შეჯამება ფაილის გარეშე არის მტკიცება და არა შედეგი.

ping -c 5 -I 10.80.0.6 10.90.0.1
ping -c 5 -I 10.30.0.25 10.90.0.1
tshark -r capture.pcap -Y 'icmp.type == 8 || icmp.type == 0' -T fields -e ip.src -e ip.dst -e icmp.ident -e icmp.seq | sort | uniq -c | head

როცა ერთი ჯგუფი აჩვენებს ხუთ პასუხს, მეორე კი არცერთს, აღმოჩენაა, რომ ერთ წყაროს აქვს მუშა დაბრუნების გზა, მეორეს კი არა. ეს გაცილებით უკეთესი ბილეთია, ვიდრე შერეული პროცენტი, და ის შემდეგ შემოწმებას მიმართავს დაბრუნების მარშრუტისკენ და არა უკავშირო VPN ინსტანციისკენ.