Ping-Verlust op enger VPN: Echo-Ufroen gruppéieren, ier Dir de Prozentsaz rechent

Eng Opnam enthält sechs Echo-Ufroen an dräi Äntwerten, an et schreift een 50 Prozent Paketverloscht an den Ticket. Dës Zuel kann fir d'Opnam richteg an fir den Tunnel falsch sinn. Déi sechs Ufroe kënnen zu zwou verschiddene Konversatioune mat zwou verschiddenen Liwwerkonditioune gehéieren. Gruppéiert se, ier Dir deelt, an de Verhältnis ass net méi den interessanten Deel vum Rapport.

Schrëtt 1: trennt d'Stréim no Quell an Destinatioun

Eng Echo-Ufro dréit eng Quell an eng Destinatioun, an déi zwee Felder bestëmmen, zu wéi enger Konversatioun se gehéiert. Eng Sonde, déi vum Gateway generéiert gëtt, benotzt d'Tunneladress vum Gateway, wärend eng Sonde, déi am Numm vun engem LAN-Host weidergereecht gëtt, d'Adress vun deem Host behält. Déi aner Säit kann eng Retourroute fir déi eng hunn an net fir déi aner, wat déi zwou Gruppe sech aus Grënn ënnerschiddlech verhalen, déi näischt mam Tunnel ze dinn hunn.

Deelt d'Opnam op dëse Felder, ier Dir eppes zielt, a behält d'Destinatioun als Deel vum Schlëssel. Zwee Stréim zu verschiddene Peers si net vergläichbar, och wa se eng Quell deelen.

Schreift d'Gruppen mat hirem Grapp op, well de nächste Schrëtt entscheet, wéi eng Äntwerten zu wéi enger Grupp gehéieren. Eng Grupp mat dräi Ufroen an där keng passend Äntwert ass, ass eng Entdeckung. Eng Grupp mat dräi Ufroen an dräi Äntwerten ass eng Grondlinn.

Schrëtt 2: gläicht op den Identifikator an d'Sequenz of

Den Echo-Format an RFC 792 dréit en Identifikator an eng Sequenznummer, an en behandelt se als d'Felder, déi eng Äntwert mat hirer Ufro pueren. Béid sinn néideg fir déi Aarbecht. Eng Sequenznummer eleng ass net eenzegaarteg, well verschidde Sender oder Prozesser deeselwechte Wäert bannent engem Opnamefënster kënnen erëm benotzen. Den Identifikator enk de Sender an, d'Sequenz enkt d'Positioun an, an d'Puer zesummen mécht eng Iwwereneestëmmung verteidegbar.

Eng Äntwert ëmdréit d'Adressrichtung vun hirer Ufro, also ass eng Iwwereneestëmmung eng Puer Ufro-Äntwert an net zwee identesch Tupelen. Vergläicht d'Quell vun der Ufro mat der Destinatioun vun der Äntwert an d'Destinatioun vun der Ufro mat der Quell vun der Äntwert, a bestätegt dann, datt den Identifikator an d'Sequenz iwwereneestëmmen.

Behält och d'Beobachtungsfënster, well eng laang Opnam eng legitim Erëmbenotzung vun de béide Felder ka enthalen. D'Fënster op ee Burst ze kierzen, hëlt de gréissten Deel vun där Onkloerheet ewech. Et mécht d'Zuelen och reproduzierbar fir jiddereen, deen den Ticket liest.

tshark -r capture.pcap -Y 'icmp.type == 8' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq
tshark -r capture.pcap -Y 'icmp.type == 0' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq

Schrëtt 3: vergläicht d'Tupelen op der selwechter Grenz

Wann d'Netzwerkadressiwwersetzung tëschent dem Opnamepunkt an dem Peer läit, wäerten d'Adressen an der Ufro an an der Äntwert vum Design hier ënnerschiddlech sinn. Vergläicht d'Tupelen op enger Grenz, oder dréit d'Mapping explizit mat, sou datt den Ënnerscheed berücksichtegt gëtt. Ufroen virun der Iwwersetzung mat Äntwerten nom Iwwersetzung ze mëschen, erfindelt Onstëmmegkeeten, déi et ni um Drot gouf.

Entscheet d'Grenz, ier Dir ufänkt ze zielen, a nennt se am Rapport, sou datt déi nächst Persoun d'Gruppéierung ka reproduzéieren. Eng Opnam op der Clientsäit an eng aner op der Serversäit sinn zwou verschidde Grenzen. Jiddwereng beäntwert eng aner Fro doriwwer, wou d'Äntwert verschwonnen ass.

Eng Grupp vun iwwersetzten Sonden ierft och den eegene Staat vum Iwwersetzungsapparat, wat den eigentleche Grond ka sinn, firwat eng Äntwert ni ukënnt. Iwwerpréift dee Staat, ier Dir de Wee hannert him beschëllegt.

tcpdump -ni any icmp and host 10.90.0.1 -c 20
tshark -r capture.pcap -Y 'icmp' -T fields -e ip.src -e ip.dst -e ip.ttl | head -20

Schrëtt 4: sot, wat d'Opnam beweise kann an wat net

Eng observéiert Lück beweist net, datt de wäiten Host geschwige huet. Den Opnamepunkt kann nëmmen eng Richtung gesinn, e Filter kann d'Äntwert verwerfen, oder de Puffer kann wärend der Fënster iwwergelaf sinn. Jiddwer vun dësen ergëtt déiselwecht Absenz an eng aner Conclusioun.

Notéiert den Opnamepunkt, den Filterausdrock an d'Verwerfungszähler nieft den Zuelen, well e Verhältnis ouni se net kann auditéeiert ginn. Déi dräi Zeilen sinn et, déi d'Zuel méi spéit verteidegbar maachen.

Trennt dann, wat d'Beobachtung feststellt, vun deem, wat se suggeréiert, an zwee Sätz amplaz vun engem. Den éischte Saz nennt d'Zuelen an d'Grenz. Den zweete nennt d'Hypothees a wat se confirméiere géif.

Wann d'Fro ass, ob e bestëmmte Wee Päckchen verwerft, ass eng kontrolléiert Sonde mat enger expliziter Quelladress e stärke Beweis wéi eng passiv Zuel vum gemëschte Verkéier. Schéckt se vun der selwechter Maschinn, zur selwechter Zäit, un dee selwechte Peer. Ännert eng Variabel, an de Vergläich hält.

Mellt d'Gruppen an déi nächst Grenz

De Rapport huet dräi Zeilen: d'Gruppedefinitioun, déi gegläichte Zuelen bannent all Grupp an d'Grenz, op där de Vergläich gemaach gouf. Dann kann de Lieser gesinn, datt eng Grupp komplett geäntwert huet an eng aner net, wat op eng Route oder eng Erlaabnes hindeit an net op randomesche Verloscht.

Füügt d'Opnamefichier an d'Filterausdréck bäi, sou datt d'Gruppéierung ka reproduzéiert ginn. E Resumé ouni d'Fichier ass eng Behauptung, net e Resultat.

ping -c 5 -I 10.80.0.6 10.90.0.1
ping -c 5 -I 10.30.0.25 10.90.0.1
tshark -r capture.pcap -Y 'icmp.type == 8 || icmp.type == 0' -T fields -e ip.src -e ip.dst -e icmp.ident -e icmp.seq | sort | uniq -c | head

Wann eng Grupp fënnef Äntwerten weist an déi aner keng, ass d'Entdeckung, datt eng Quell eng funktionéierend Retourroute huet an déi aner net. Dat ass vill e besseren Ticket wéi e gemëschte Prozentsaz, an et richt de nächsten Test op d'Retourroute an net op eng onrelatéiert VPN-Instanz.