Ping zudums VPN: sagrupējiet Echo pieprasījumus pirms procentiem

Vienā ierakstā ir seši Echo pieprasījumi un trīs atbildes, un kāds biļetē ieraksta 50 procentu pakešu zudumu. Šis skaitlis var būt patiess ierakstam un nepatiess tunelim. Seši pieprasījumi var piederēt divām dažādām sarunām ar diviem dažādiem piegādes līgumiem. Sagrupējiet tos pirms dalīšanas, un attiecība pārstās būt interesantākā atskaites daļa.

1. solis: atdaliet plūsmas pēc avota un galamērķa

Echo pieprasījums nes avotu un galamērķi, un šie divi lauki nosaka, kurai sarunai tas pieder. Vārtejas ģenerētā zonde izmanto vārtejas tuneļa adresi, savukārt LAN resursdatora vārdā pārsūtītā zonde saglabā šī resursdatora adresi. Pretējā pusē vienam var būt atgriešanās maršruts, bet otram ne, un tāpēc abas grupas uzvedas atšķirīgi iemeslu dēļ, kuriem nav nekāda sakara ar tuneli.

Sadaledziet ierakstu pēc šiem laukiem, pirms kaut ko skaitāt, un saglabājiet galamērķi kā atslēgas daļu. Divas plūsmas uz dažādiem vienaudžiem nav salīdzināmas pat tad, ja tām ir kopīgs avots.

Pierakstiet grupas ar to skaitu, jo nākamais solis izlemj, kuras atbildes pieder kurai grupai. Grupa ar trim pieprasījumiem un nevienu atbilstošu atbildi ir atradums. Grupa ar trim pieprasījumiem un trim atbildēm ir bāzes līnija.

2. solis: saskaņojiet pēc identifikatora un secības

RFC 792 Echo formāts nes identifikatoru un secības numuru, un tos uzskata par laukiem, kas savieno atbildi ar tās pieprasījumu. Šim darbam vajadzīgi abi. Viens secības numurs nav unikāls, jo dažādi sūtītāji vai procesi var atkārtoti izmantot to pašu vērtību vienā ieraksta logā. Identifikators sašaurina sūtītāju, un secība sašaurina pozīciju, un tieši pāris kopā padara saskaņošanu aizstāvamu.

Atbilde apgriež savu pieprasījuma adrešu virzienu, tāpēc saskaņošana ir pieprasījuma-atbildes pāris, nevis divi identiski korteži. Salīdziniet pieprasījuma avotu ar atbildes galamērķi un pieprasījuma galamērķi ar atbildes avotu, pēc tam apstipriniet, ka identifikators un secība sakrīt.

Saglabājiet arī novērošanas logu, jo garā ierakstā var būt likumīga abu lauku atkārtota izmantošana. Loga saīsināšana līdz vienam uzliesmojumam novērš lielāko daļu šīs neskaidrības. Tas arī padara skaitījumus atkārtojamus ikvienam, kas lasa biļeti.

tshark -r capture.pcap -Y 'icmp.type == 8' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq
tshark -r capture.pcap -Y 'icmp.type == 0' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq

3. solis: salīdziniet kortežus tajā pašā robežā

Ja tīkla adrešu tulkošana atrodas starp ieraksta punktu un vienaudzi, adreses pieprasījumā un atbildē atšķirsies pēc projekta. Salīdziniet kortežus vienā robežā, vai pārnesiet kartējumu skaidri, lai atšķirība tiktu ņemta vērā. Jaulaujot pieprasījumus pirms tulkošanas ar atbildēm pēc tulkošanas, tiek izgudrotas neatbilstības, kuru uz vada nekad nav bijis.

Izlemiet robežu, pirms sākat skaitīt, un norādiet to atskaitē, lai nākamā persona varētu atkārtot grupēšanu. Viens ieraksts klienta pusē un otrs servera pusē ir divas dažādas robežas. Katra atbild uz citu jautājumu par to, kur atbilde pazuda.

Tulkoto zondu grupa arī pārmanto pašas tulkošanas ierīces stāvokli, kas var būt īstais iemesls, kāpēc atbilde nekad neierodas. Pārbaudiet šo stāvokli, pirms vainojat ceļu aiz tā.

tcpdump -ni any icmp and host 10.90.0.1 -c 20
tshark -r capture.pcap -Y 'icmp' -T fields -e ip.src -e ip.dst -e ip.ttl | head -20

4. solis: pasakiet, ko ieraksts var un ko nevar pierādīt

Novērotā plaisa nepierāda, ka tālais resursdators klusēja. Ieraksta punkts var redzēt tikai vienu virzienu, filtrs var nomest atbildi, vai buferis varēja pārplūst loga laikā. Katrs no tiem dod vienu un to pašu neesamību un citu secinājumu.

Pierakstiet ieraksta vietu, filtra izteiksmi un nomešanas skaitītājus līdzās skaitījumiem, jo attiecību bez tiem nevar audītēt. Tieši šīs trīs rindas padara skaitli vēlāk aizstāvamu.

Pēc tam atdaliet, ko novērojums nosaka, no tā, ko tas ierosina, divos teikumos, nevis vienā. Pirmais teikums norāda skaitījumus un robežu. Otrais norāda hipotēzi un to, kas to apstiprinātu.

Ja jautājums ir, vai konkrēts ceļš nomet paketes, kontrolēta zonde ar skaidru avota adresi ir spēcīgāks pierādījums nekā pasīva jauktas plūsmas skaitīšana. Nosūtiet to no tās pašas mašīnas, tajā pašā laikā, tam pašam vienaudzim. Mainiet vienu mainīgo, un salīdzinājums paliek spēkā.

Ziņojiet par grupām un nākamo robežu

Atskaitei ir trīs rindas: grupas definīcija, saskaņotie skaitījumi katrā grupā un robeža, kurā tika veikts salīdzinājums. Tad lasītājs var redzēt, ka viena grupa atbildēja pilnībā, bet otra ne, kas norāda uz maršrutu vai atļauju, nevis nejaušu zudumu.

Pievienojiet ieraksta failu un filtra izteiksmes, lai grupēšanu varētu atkārtot. Kopsavilkums bez faila ir apgalvojums, nevis rezultāts.

ping -c 5 -I 10.80.0.6 10.90.0.1
ping -c 5 -I 10.30.0.25 10.90.0.1
tshark -r capture.pcap -Y 'icmp.type == 8 || icmp.type == 0' -T fields -e ip.src -e ip.dst -e icmp.ident -e icmp.seq | sort | uniq -c | head

Kad viena grupa rāda piecas atbildes, bet otra nevienu, atradums ir tāds, ka vienam avotam ir strādājošs atgriešanās maršruts, bet otram nav. Šī ir daudz labāka biļete nekā sajaukts procents, un tā vērš nākamo pārbaudi uz atgriešanās maršrutu, nevis uz nesaistītu VPN instanci.