Banneschten an äusseren Paket an engem VPN-Capture: firwat d'Gréissten differéieren

Dir capture 1400-Byte-Paketen um Tunnel-Interface, capture nach eng Kéier um physeschen, an d'Zuelen wëllen net passen. D'Adressen ënnerscheeden sech, d'Gréissten ënnerscheede sech, an déi zweet Datei gesäit aus wéi eng aner Konversatioun. Et ass näischt futti. Zwee verschidde Paketen sëtzen op zwou verschiddene Schichten, an den Ofstand tëschent hinnen ass dat, wat den Tunnel mat Ärem Traffic mécht. Liest béid Vueen, ier dir d'MTU beschëllegt.

Zwee Vuepunkten, an de Paket, deen all een zeigt

E Capture um Tunnel-Interface weist de banneschten Paket: dem Applikatioun seng Notzlaascht mat hirem ursprénglechen Ursprong an Zil, ier eng Protektioun ugewannt gëtt. E Capture um physeschen Interface weist den äusseren Paket: en IP-Header, en Transportheader, d'Encapsulation, an duerno de verschlüsselte banneschten Paket als Notzlaascht. Déiselwecht Konversatioun, aner Objeten. Soubal dir nennt, wéi en an der Datei ass, ass d'Diskrepanz keng Mystère méi.

Den Ënnerscheed an der Gréisst ass Overhead, den Ënnerscheed an der Adress ass Design. Dréit dat em, an d'Confusioun gëtt viraussobar: Leit vergläichen e banneschten 1400-Byte-Paket mat engem äusseren 1450-Byte-Paket, entscheeden datt eppes falsch ass, a fänken un MTU-Astellungen ze änneren, déi ni schold ware. Etikettéiert d'Datei mat Interface a Schicht, well dat Etikett dat éischt ass, wat e Lieser brauch, an dat éischt, wat Leit vergiessen.

Entscheet d'Schicht, ier dir de Capture start

Entscheet, wéi eng Schicht Är Fro beäntwert, ier den éischte Paket geschriwwen ass. Eng MTU-Fro brauch meeschtens d'äusser Vue, well do sammelen sech d'Headeren an do weist sech d'Limite vum Wee. Eng Applikatiounsfro brauch meeschtens d'bannesch Vue, well do ass d'Notzlaascht nach, déi Iech interesséiert. Béides ouni Plang ze capture gëtt zwou Dateien an eng Null-Conclusioun.

Benotzt en harmlosen, autoriséierte Test a filtert no deem Ursprong, Zil an Zäit, déi Iech interesséieren. Liest d'Interface- an Filteroptioune vum Capture-Tool virum Sammelen, well Metadaten sinn normalerweis genuch a vill méi einfach ze deelen wéi Notzlaascht. Behandelt de banneschten Capture par défaut als sensibel, well en onverschlüsselt Applikatiounsdaten hält, déi eréischt weider um Wee geschützt ginn.

Wat am Gréisstenënnerscheed tatsächlech dran ass

Den äusseren Paket dréit zousätzlech Headeren a Protektiounsmaterial, a wéi vill en dréit, hänkt vum Protokoll an sengen Optiounen of. Fragmentatioun, Aggregatioun oder Ëmuerdnung um Wee kënnen déi scheinbar éé-zu-éé-Bezéiung tëschent engem banneschten Paket an den äussere Paketen, déi en droen, briechen, dofir ass e Gréisst-fir-Gréisst-Verglach net ëmmer méiglech. Bei engem verdächtegen MTU-Feeler sicht no Gréisstfeedback an dem Punkt, wou den Traffic stoppt, a vergläicht dat mat deem, wat d'Applikatioun mellt. E Retransmissiounsmuster ouni Äntwert ass en anert Signal wéi en ICMP-Feeler mat enger Next-Hop-Gréisst.

Een eenzleche Paket, deen den Host verléisst, beweist näischt doriwwer, ob déi wäit Säit en kritt huet. Wann Äre Capture op Ärem eigenen Interface ophält, hutt dir just gewisen, datt de Kernel eppes erausginn huet, wat déi schwächst Evidenz iwwer de Wee ass. Kombinéiert de Capture mat engem widderhuelbare Symptom: selwecht Zil, selwecht Operatioun, selwecht Gréisst, zweemol lafe gelooss mat enger geännerter Variabel.

Offload an d'Zuelen erliesen

Host-säiteg Segmentatioun an aneren Offload setzen eng zweet Verzerrung derbäi, an déi ass et, déi lokal Capturen dem Kabel widderspriechen. E lokale Capture kann Puffer weisen, déi den Adapter spéider spléckt, dofir sinn d'Frames um Link méi kleng a méi zahlräich wéi d'Datei et seet. Dofir beweist e grousse Puffer an der Capture-Datei net, datt e risege Frame all Link passéiert huet. Wann d'Gréissten fir Är Conclusioun zielen, notéiert wou de Capture geholl gouf an ob den Offload op deem Interface aktiv war.

Soss moosst dir dem Host seng Bequemlechkeet an net dem Wee säi Verhalen. Zwou Dateien, déi mat Interface an Offload-Zoustand etikettéiert sinn, klären déi meescht vun dësen Diskussiounen an enger Minutt.

Wou de Capture opgehalen huet, Beweis ze sinn

Verschlüsselt äusser Paketen ze gesinn weist, datt ënner dëse Testkonditiounen eng Protektiounsgrenz existéiert, a seet näischt iwwer aner Applikatiounen um Apparat, dem Bedreiwer seng Behandlung oder den Zoustand vum Endpoint selwer. Klartext am Tunnel ze gesinn heescht och net, datt den Tunnel futti ass, et heescht, datt dir iwwer dem Verschlësselungspunkt gecaptured hutt, wat eng legitim Plaz zum Kucken ass. E Capture ass Beweis iwwer eng Plaz, kee Verdikt iwwer e System, an den Ticket sollt et esou beschreiwen. Halt de Saz zum Ëmfang am Rapport, well hien ass et, deen eng eenzeg Observatioun dovun ofhält, eng Audit-Behauptung ze ginn.

Nennt all Datei mat hirem Interface, Filter an Zäitstempel, a läscht se, wann d'Enquête ophält. Den tcpdump-Handbuch dokumentéiert d'Interface- an Filter-Flags, déi hei benotzt goufen, och déi, déi e Capture kleng halen.

Wann dir Beweiser musst deelen, deelt Gréissten, Zäitstempelen a Flags amplaz vun Notzlaascht. D'Fro war iwwer d'Paketgréisst, an d'Äntwert brauch selten engem seng Daten.