Promiskuitetinis režimas VPN adapteryje nutraukia ryšį
Tunelio adapteryje atliekamas įrašymas gali sustabdyti jo persiuntimą. Išjunkite promiskuitetinį režimą, pasirinkite sluoksnį, kuris atsako į klausimą, ir laikykite failą paslaptimi.
Wireshark nepriekaištingai veikia Ethernet sąsajoje, o tada VPN adapteryje tunelis nustoja praleisti srautą tą akimirką, kai prasideda įrašymas. Įrašymo langas toliau pildosi, todėl įrankis atrodo sveikas, nors ryšys po juo miršta. Promiskuitetinis režimas yra įprasta priežastis, nes tunelio tvarkyklė, kurios prašoma kiekvieno kadro segmente, kurio ji neturi, gali atsidurti būsenoje, kai niekas neišeina.
Pirmiausia išjunkite tą parinktį, tada nuspręskite, kurį sluoksnį iš tikrųjų reikia matyti.
Du adapteriai, du skirtingi vaizdai
VPN klientas paprastai pateikia dvi sąsajas: fizinę, kuri perduoda šifruotą transportą, ir virtualią, kuri perduoda iššifruotą vidinį srautą. Jos atsako į skirtingus klausimus. Fizinis įrašymas rodo galinius taškus, prievadus ir paketų dydžius, o virtualusis rodo taikomųjų programų protokolus taip, kaip juos pristato tunelis. Vienos pasirinkimas nežinant, kokį klausimą užduodate, iššvaisto įrašymą.
Nė vienas vaizdas nėra kito viršaibė, ir vienas įrašymas retai atsako į abu klausimus vienu metu.
Sąsają rinkitės pagal klausimą, o ne pagal sąrašo tvarką, nes PPP stiliaus klientas gali pateikti savo adapterį kaip Ethernet įrenginį, o rodomas pavadinimas nepasakys, kurį sluoksnį pasirinkote. Įrašymas ties vartais ar veidrodiniu prievadu prideda trečią vaizdą, kuris rodo kelią po persiuntimo, ir būtent ten tampa matomas asimetrinis maršrutizavimas ir filtravimas.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Kodėl promiskuitetinis režimas sugadina tunelio adapterį
Promiskuitetinis režimas prašo tvarkyklės perduoti kadrus, kurie nėra adresuoti pagrindiniam kompiuteriui, o tai prasminga bendrame Ethernet segmente ir labai mažai prasminga taško-taško tunelyje. Kai kurios tvarkyklės prašymą priima ramiai; kitos nustoja iš eilės imti siunčiamą srautą, ir sąsaja tyliai tampa juoda skyle. Įrašymas vis tiek fiksuoja, kas ateina, todėl failas atrodo kaip veikiančios jungties įrodymas. Būtent šis atotrūkis tarp to, ką rodo failas, ir to, ką padarė sąsaja, yra visa spąstai.
Išjunkite parinktį prieš pirmąjį paketą, laikykite įrašymo filtrą siaurą ir naudokite mažą buferį. Didelis žiedinis buferis užimtoje sąsajoje išmeta būtent tuos kadrus, kurie buvo svarbūs, todėl įrašymas būna išsamus visur, išskyrus ten, kur buvo gedimas.
Jei ryšys įstringa įrašymo viduryje, sustabdykite jį ir stebėkite atkūrimą. Tas vienas pastebėjimas atskiria įrašymo šalutinį poveikį nuo tikro tunelio gedimo, ir tai užima mažiau laiko nei bet koks filtrų derinimas.
Kaip padaryti IPsec įrašą įskaitomą
IPsec įrašas pats savaime nėra įskaitomas, nes ESP šifruoja naudingąją apkrovą. Wireshark gali jį iššifruoti, kai pateikiate sesijos raktus, arba kai gali sekti IKE derybas, kurios juos sukūrė, o tai reiškia, kad rankos paspaudimas turi būti tame pačiame faile.
Raktai baigiasi. Kai šalys atnaujina raktus, senų raktų rinkinys nustoja veikti įrašymo viduryje, ir rezultatas atrodo kaip dekoderio klaida, o ne laiko riba.
Laikykitės gamintojo dokumentuoto raktų formato, o ne importuokite medžiagą iš nesusijusio šaltinio, ir tikėkitės, kad kai kurios platformos visiškai atsisakys šios darbo eigos. Kai vartai neperduoda raktų ar neleidžia įrašymo, priimkite, kad naudingosios apkrovos negalima ištirti iš jūsų vietos. Galinių taškų žurnalai ir sąsajos skaitikliai yra likę įrodymai, ir jų paprastai pakanka maršrutizavimo klausimui.
Įrašas, kurį galite saugiai bendrinti
Vidinis įrašymas yra arčiau prisijungimo duomenų nutekėjimo nei žurnalo. Jame gali būti vardų, adresų ir atviro teksto iš protokolų, parašytų darant prielaidą, kad niekas jų niekada neskaitys, todėl pats failas tampa jautriu artefaktu, o ne analizė.
Įsitikinkite, kad pagrindinis kompiuteris ir tinklas yra tokie, kuriuose jums leidžiama įrašyti, užrašykite ir sąsają, ir filtrą kartu su rezultatu, apribokite sesiją keliomis minutėmis, kurios atsako į klausimą, ir pašalinkite failą baigę. Jei jį reikia bendrinti, pirmiausia apibūdinkite srautą arba pašalinkite naudingąją apkrovą.
Tada pakartokite pradinę vartotojo užduotį. Įrašymas, įrodantis, kad paketas atėjo, nėra įrodymas, kad programa priėmė atsakymą, ir skirtumas tarp šių dviejų paprastai yra ten, kur slypi tikrasis gedimas.