Vidiniai ir išoriniai paketai VPN fiksavime: kodėl skiriasi dydžiai

Tunelio sąsajoje fiksuojate 1400 baitų paketus, tada fiksuojate fizinėje sąsajoje, ir skaičiai nesutampa. Adresai skiriasi, dydžiai skiriasi, o antrasis failas atrodo kaip kitas pokalbis. Niekas nesugedę. Du skirtingi paketai yra dviejuose skirtinguose sluoksniuose, o tarpas tarp jų yra tai, ką tunelis daro jūsų srautui. Perskaitykite abu vaizdus prieš kaltindami MTU.

Du stebėjimo taškai ir paketas, kurį kiekvienas rodo

Tunelio sąsajoje atliktas fiksavimas rodo vidinį paketą: programos naudingąją apkrovą su pradiniu šaltiniu ir paskirties vieta, kol apsauga dar nepritaikyta. Fizinės sąsajos fiksavimas rodo išorinį paketą: IP antraštę, transporto antraštę, inkapsuliaciją ir tada užšifruotą vidinį paketą kaip naudingąją apkrovą. Tas pats pokalbis, skirtingi objektai. Kai įvardysite, kuris yra faile, neatitikimas nustos būti mįslė.

Dydžio skirtumas yra pridėtinės išlaidos, adreso skirtumas yra dizainas. Apverskite tai, ir painiava taps nuspėjama: žmonės lygina vidinį 1400 baitų paketą su išoriniu 1450 baitų paketu, nusprendžia, kad kažkas negerai, ir pradeda keisti MTU nustatymus, kurie niekada nebuvo kalti. Pažymėkite failą sąsaja ir sluoksniu, nes ta etiketė yra pirmas dalykas, kurio skaitytojui reikia, ir pirmas, kurį žmonės praleidžia.

Nuspręskite sluoksnį prieš pradėdami fiksavimą

Nuspręskite, kuris sluoksnis atsakys į jūsų klausimą, prieš užrašant pirmą paketą. MTU klausimui paprastai reikia išorinio vaizdo, nes ten kaupiasi antraštės ir ten pasimato kelio riba. Programos klausimui paprastai reikia vidinio vaizdo, nes ten dar yra naudingoji apkrova, kuri jums rūpi. Fiksuoti abu be plano reiškia du failus ir nulį išvadų.

Naudokite nekenksmingą, leistą testą ir filtruokite pagal jums rūpimą šaltinį, paskirties vietą ir laiką. Prieš rinkdami perskaitykite įrankio sąsajos ir filtro parinktis, nes metaduomenų paprastai pakanka ir juos daug lengviau bendrinti nei naudingąją apkrovą. Vidinį fiksavimą laikykite jautriu pagal nutylėjimą, nes jame yra neužšifruoti programos duomenys, kurie apsaugomi tik toliau kelyje.

Ką iš tikrųjų sudaro dydžio skirtumas

Išorinis paketas neša papildomas antraštes ir apsaugos medžiagą, o kiek jis neša, priklauso nuo protokolo ir jo parinkčių. Fragmentavimas, agregavimas ar pertvarkymas kelyje gali sugriauti tariamą vieno vidinio paketo ir jį nešančių išorinių paketų vienas-su-vienu santykį, todėl dydžio pagal dydį palyginimas ne visada įmanomas. Įtariamo MTU gedimo atveju ieškokite dydžio grįžtamojo ryšio ir taško, kur srautas sustoja, tada palyginkite su tuo, ką praneša programa. Perdavimo be atsakymo modelis yra kitas signalas nei ICMP klaida, nešanti kito šuolio dydį.

Vienas paketas, išėjęs iš hosto, nieko neįrodo apie tai, ar tolimoji pusė jį gavo. Jei fiksavimas baigiasi jūsų pačių sąsajoje, parodėte tik tai, kad branduolys kažką išleido, ir tai yra silpniausias įrodymas apie kelią. Derinkite fiksavimą su pakartojamu simptomu: ta pati paskirties vieta, ta pati operacija, tas pats dydis, paleiskite du kartus pakeitę vieną kintamąjį.

Offload skaitymas skaičiuose

Segmentavimas hosto pusėje ir kitas offload prideda antrą iškraipymą, ir būtent jis lemia, kad vietiniai fiksavimai nesutampa su linija. Vietinis fiksavimas gali rodyti buferius, kuriuos adapteris vėliau suskaido, todėl kadrai linijoje yra mažesni ir jų daugiau, nei rodo failas. Todėl didelis buferis fiksavimo faile neįrodo, kad per stambus kadras perėjo kiekvieną liniją. Jei dydžiai svarbūs jūsų išvadai, užrašykite, kur fiksavimas atliktas ir ar tame interfese veikė offload.

Priešingu atveju matuojate hosto patogumą, o ne kelio elgseną. Du failai su sąsajos ir offload būsenos etiketėmis išsprendžia daugumą šių ginčų per minutę.

Kur fiksavimas nustoja būti įrodymu

Užšifruotų išorinių paketų matymas rodo, kad šiomis bandymo sąlygomis egzistuoja apsaugos riba, ir nieko nesako apie kitas įrenginio programas, operatoriaus elgesį ar paties galinio taško būseną. Atviro teksto matymas tunelio viduje irgi nereiškia, kad tunelis sugedęs, tai reiškia, kad fiksavote aukščiau šifravimo taško, o tai yra teisėta vieta žiūrėti. Fiksavimas yra įrodymas apie vietą, o ne nuosprendis apie sistemą, ir bilietas turėtų tai taip aprašyti. Palikite aprėpties sakinį ataskaitoje, nes būtent jis neleidžia vienam stebėjimui tapti audito teiginiu.

Pavadinkite kiekvieną failą pagal sąsają, filtrą ir laiko žymą, o tyrimui pasibaigus jį ištrinkite. tcpdump vadovas aprašo čia naudotus sąsajos ir filtro parametrus, įskaitant tuos, kurie padeda išlaikyti fiksavimą mažą.

Jei turite bendrinti įrodymus, bendrinkite dydžius, laiko žymas ir parametrus, o ne naudingąją apkrovą. Klausimas buvo apie paketo dydį, o atsakymui retai reikia kieno nors duomenų.