Iekšējās un ārējās paketes VPN tvērumā: kāpēc izmēri atšķiras

Jūs tverat 1400 baitu paketes tuneļa saskarnē, tverat vēlreiz fiziskajā saskarnē, un skaitļi atsakās saskanēt. Adreses atšķiras, izmēri atšķiras, un otrais fails izskatās pēc citas sarunas. Nekas nav salūzis. Divas dažādas paketes atrodas divos dažādos slāņos, un plaisa starp tām ir tas, ko tunelis dara ar jūsu datplūsmu. Izlasiet abus skatus, pirms vainojat MTU.

Divi skatu punkti un pakete, ko katrs rāda

Tveršana tuneļa saskarnē rāda iekšējo paketi: lietotnes datu daļu ar tās sākotnējo avotu un galamērķi, pirms jebkāda aizsardzība ir piemērota. Tveršana fiziskajā saskarnē rāda ārējo paketi: IP galveni, transporta galveni, iekapsulējumu un pēc tam šifrēto iekšējo paketi kā datu daļu. Tā pati saruna, citi objekti. Kad esat nosaucis, kuru no tām fails satur, nesakritība pārstāj būt noslēpums.

Izmēru atšķirība ir papildu apjoms, un adrešu atšķirība ir dizains. Apgrieziet to otrādi, un apjukums kļūst paredzams: cilvēki salīdzina iekšējo 1400 baitu paketi ar ārējo 1450 baitu paketi, nolemj, ka kaut kas ir nepareizi, un sāk mainīt MTU iestatījumus, kas nekad nebija vainīgi. Apzīmējiet failu ar saskarni un slāni, jo šis apzīmējums ir pirmā lieta, kas lasītājam vajadzīga, un pirmā, ko cilvēki izlaiž.

Izlemiet slāni pirms tveršanas sākšanas

Izlemiet, kurš slānis atbild uz jūsu jautājumu, pirms tiek ierakstīta pirmā pakete. Jautājums par MTU parasti prasa ārējo skatu, jo tur uzkrājas galvenes un tur parādās ceļa ierobežojums. Jautājums par lietotni parasti prasa iekšējo skatu, jo tur jūsu interesējošā datu daļa joprojām pastāv. Abu tveršana bez plāna dod divus failus un nevienu secinājumu.

Izmantojiet nekaitīgu, atļautu testu un filtrējiet pēc avota, galamērķa un laika, kas jums svarīgs. Pirms vākšanas izlasiet tveršanas rīka saskarnes un filtru iespējas, jo metadati parasti ir pietiekami un ir daudz vieglāk kopīgojami nekā datu daļa. Uzskatiet iekšējo tveršanu par sensitīvu pēc noklusējuma, jo tā satur nešifrētus lietotnes datus, kas kļūst aizsargāti tikai tālāk ceļā.

Ko izmēru atšķirība patiešām satur

Ārējā pakete satur papildu galvenes un aizsardzības materiālu, un tas, cik daudz tā satur, ir atkarīgs no protokola un tā opcijām. Fragmentēšana, apvienošana vai pārkārtošana ceļā var izjaukt šķietamo vienu-pret-vienu attiecību starp iekšējo paketi un ārējām paketēm, kas to nes, tāpēc salīdzinājums pēc izmēra ne vienmēr ir pieejams. Ja ir aizdomas par MTU kļūdu, meklējiet izmēra atgriezenisko saiti un vietu, kur datplūsma apstājas, un pēc tam salīdziniet to ar to, ko ziņo lietotne. Atkārtotas pārsūtīšanas modelis bez atbildes ir cits signāls nekā ICMP kļūda, kas nes nākamā lēciena izmēru.

Viena pakete, kas atstāj resursdatoru, neko nepierāda par to, vai tālais gals to saņēma. Ja jūsu tveršana beidzas pie jūsu paša saskarnes, jūs esat parādījis, ka kodols kaut ko izdeva, un tas ir vājākais pieejamais pierādījums par ceļu. Apvienojiet tveršanu ar atkārtojamu simptomu: tas pats galamērķis, tā pati darbība, tas pats izmērs, palaists divreiz ar vienu mainītu mainīgo.

Izlices nolasīšana skaitļos

Segmentēšana resursdatora pusē un cita izlice pievieno otru kropļojumu, un tieši tas liek vietējām tveršanām nesaskanēt ar vadu. Vietējā tveršana var rādīt buferus, ko adapteris vēlāk sadala, tāpēc kadri uz saites ir mazāki un skaitliski lielāki, nekā fails liek domāt. Tāpēc liels buferis tveršanas failā nepierāda, ka pārmērīga kadra šķērsoja ikvienu saiti. Ja izmēri ir svarīgi jūsu secinājumam, pierakstiet, kur tveršana veikta un vai izlice šajā saskarnē bija aktīva.

Citādi jūs mērāt resursdatora ērtību, nevis ceļa uzvedību. Divi faili, apzīmēti ar to saskarni un izlices stāvokli, atrisina lielāko daļu šo strīdu vienas minūtes laikā.

Kur tveršana pārstāj būt pierādījums

Šifrētu ārējo pakešu redzēšana parāda, ka aizsardzības robeža pastāv šajos testa apstākļos, un tas neko nepasaka par citām lietotnēm ierīcē, operatora apstrādi vai galapunkta paša stāvokli. Atvērta teksta redzēšana tuneļa iekšpusē arī nenozīmē, ka tunelis ir salūzis; tas nozīmē, ka jūs tverējāt virs šifrēšanas punkta, kas ir likumīga vieta, kur skatīties. Tveršana ir pierādījums par vietu, nevis spriedums par sistēmu, un pieteikumā tas tā jāapraksta. Saglabājiet tvēruma teikumu ziņojumā, jo tieši tas neļauj vienam novērojumam kļūt par audita apgalvojumu.

Nosauciet katru failu ar tā saskarni, filtru un laika zīmogu, un izdzēsiet to, kad izmeklēšana beidzas. tcpdump rokasgrāmata dokumentē šeit izmantotos saskarnes un filtru karodziņus, tostarp tos, kas uztur tveršanu mazu.

Ja jums tomēr jākopīgo pierādījumi, kopīgojiet izmērus, laika zīmogus un karodziņus, nevis datu daļu. Jautājums bija par paketes izmēru, un atbildei reti vajag kāda datus.