VPN адаптериндеги промисскуиттик режим байланышты өлтүрөт
Туннель адаптериндеги жазуу анын өткөрүүсүн токтотушу мүмкүн. Промисскуиттик режимди өчүрүңүз, суроого жооп берген катмарды тандаңыз жана файлды сыр катары кабыл алыңыз.
Wireshark Ethernet интерфейсинде кемчиликсиз иштейт, анан VPN адаптеринде жазуу башталган учурда туннель трафикти өткөрүүнү токтотот. Жазуу терезеси тола берет, ошондуктан курал соо көрүнөт, ал эми анын астындагы байланыш өлөт. Промисскуиттик режим адаттагы себеп, анткени өзүндө жок сегменттеги ар бир кадрды сураган туннель драйвери эч нерсе чыкпаган абалга туш болушу мүмкүн.
Алгач ошол параметрди өчүрүңүз, анан чындап кайсы катмарды көрүү керектигин чечиңиз.
Эки адаптер, эки башка көрүнүш
VPN кардары адатта эки интерфейсти сунуштайт: шифрленген транспортту алып жүргөн физикалык жана шифри ачылган ички трафикти алып жүргөн виртуалдык. Алар башка суроолорго жооп берет. Физикалык жазуу четки чекиттерди, портторду жана пакет өлчөмдөрүн көрсөтөт, ал эми виртуалдык туннель жеткиргендей колдонмо протоколдорун көрсөтөт. Кандай суроо берип жатканыңызды билбей бирөөнү тандоо жазууну текке кетирет.
Эч бир көрүнүш экинчисинин ашык көптүгү эмес жана бир жазуу эки суроого бир убакта сейрек жооп берет.
Интерфейсти тизме тартиби боюнча эмес, суроо боюнча тандаңыз, анткени PPP стилиндеги кардар өз адаптерин Ethernet түзмөгү катары көрсөтүшү мүмкүн жана көрсөтүлгөн ат кайсы катмарды тандаганыңызды айтпайт. Шлюздеги же күзгү портундагы жазуу үчүнчү көрүнүштү кошот, ал өткөрүүдөн кийинки жолду көрсөтөт, жана асимметриялык маршруттоо менен фильтрлөө дал ошол жерде көрүнөт.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Эмне үчүн промисскуиттик режим туннель адаптерин бузат
Промисскуиттик режим драйверден хостко багытталбаган кадрларды жеткирүүнү сурайт, бул жалпы Ethernet сегментинде маанилүү жана чекиттен чекитке туннелинде абдан аз маанилүү. Айрым драйверлер суроону тынч кабыл алат; башкалары жөнөтүү трафигин кезектен чыгарууну токтотот, ал эми интерфейс үнсүз кара чуңкурга айланат. Жазуу келгенди дагы эле жазат, ошондуктан файл иштеп жаткан байланыштын далилиндей көрүнөт. Файлдын көрсөткөнү менен интерфейстин жасаганынын ортосундагы дал ошол ажырым — бүтүндөй тузак.
Параметрди биринчи пакеттен мурун өчүрүңүз, жазуу фильтрин тар кармаңыз жана кичине буфер колдонуңуз. Толуп турган интерфейстеги чоң шакек буфер дал маанилүү болгон кадрларды таштайт, натыйжада жазуу бузулуу болгон жерден башка бардык жерде толук болот.
Эгер байланыш жазуу ортосунда токтоп калса, аны токтотуп, калыбына келишин байкаңыз. Ошол бир байкоо жазуунун жанындагы таасирин туннелдин чыныгы бузулушунан ажыратат жана кандайдыр бир фильтр жөндөөдөн аз убакыт алат.
IPsec жазуусун окула турган кылуу
IPsec жазуусу өзүнчө окула турган эмес, анткени ESP пайдалуу жүктү шифрлейт. Wireshark аны сессия ачкычтарын бергениңизде же аларды жараткан IKE сүйлөшүүсүн ээрчий алганда чече алат, бул кол алышуу ошол эле файлда болушу керек дегенди билдирет.
Ачкычтардын мөөнөтү бүтөт. Тараптар ачкычтарды жаңырткандан кийин эски ачкычтардын топтому жазуунун ортосунда иштөөнү токтотот жана натыйжа убакыт чеги эмес, декодер катасындай көрүнөт.
Байланышы жок булактан материал импорттобой, жеткирүүчүнүн документтелген ачкыч форматын карманыңыз жана айрым платформалар бүтүндөй иш агымынан баш тартат деп күтүңүз. Шлюз ачкычтарды бербесе же жазууга уруксат бербесе, пайдалуу жүктү сиз отурган жерден текшерүү мүмкүн эместигин кабыл алыңыз. Четки чекиттердин журналдары жана интерфейс эсептегичтери калган далилдер жана алар маршруттоо суроосуна адатта жетиштүү.
Коопсуз бөлүшө алган жазуу
Ички жазуу журналга караганда эсептик маалыматтардын төгүлүшүнө жакын. Анда аттар, даректер жана эч ким эч качан окубайт деген божомол менен жазылган протоколдордун ачык тексти болушу мүмкүн, бул талдоону эмес, файлдын өзүн сезимтал артефактка айландырат.
Хост жана тармак жазуу жүргүзүүгө уруксат берилгендер экенине ынаныңыз, интерфейсти да, фильтрди да натыйжа менен бирге жазып алыңыз, сессияны суроого жооп берген бир нече мүнөт менен чектеңиз жана бүткөндөн кийин файлды өчүрүңүз. Эгер аны бөлүшүү керек болсо, адегенде агымды сүрөттөңүз же пайдалуу жүктү алып салыңыз.
Анан колдонуучунун баштапкы тапшырмасын кайталаңыз. Пакеттин келгенин далилдеген жазуу колдонмо жоопту кабыл алганынын далили эмес, жана бул экөөнүн айырмасы адатта чыныгы бузулуу жайгашкан жер.