Promiskuitātes režīms VPN adapterī nogalina savienojumu
Uz tuneļa adaptera veikts ieraksts var apturēt tā pārsūtīšanu. Izslēdziet promiskuitātes režīmu, izvēlieties slāni, kas atbild uz jautājumu, un uzskatiet failu par noslēpumu.
Wireshark lieliski darbojas Ethernet saskarnē, un tad VPN adapterī tunelis pārstāj laist cauri datplūsmu tajā brīdī, kad sākas ieraksts. Ieraksta logs turpina pildīties, tāpēc rīks izskatās vesels, kamēr savienojums zem tā mirst. Promiskuitātes režīms ir parastais iemesls, jo tuneļa draiveris, kuram tiek prasīts katrs kadrs segmentā, kura tam nav, var nonākt stāvoklī, kurā nekas neiziet.
Vispirms izslēdziet šo opciju, pēc tam izlemiet, kuru slāni jums patiešām jāredz.
Divi adapteri, divi dažādi skati
VPN klients parasti piedāvā divas saskarnes: fizisko, kas pārnēsā šifrēto transportu, un virtuālo, kas pārnēsā atšifrēto iekšējo datplūsmu. Tās atbild uz dažādiem jautājumiem. Fiziskais ieraksts rāda galapunktus, portus un pakešu izmērus, bet virtuālais rāda lietojumprogrammu protokolus tā, kā tos piegādā tunelis. Vienas izvēle, nezinot, kādu jautājumu jūs uzdodat, izšķiež ierakstu.
Neviens skats nav otra virskopa, un viens ieraksts reti atbild uz abiem jautājumiem vienlaikus.
Izvēlieties saskarni pēc jautājuma, nevis pēc saraksta kārtas, jo PPP stila klients var uzrādīt savu adapteri kā Ethernet ierīci, un parādītais nosaukums jums nepateiks, kuru slāni jūs izvēlējāties. Ieraksts pie vārtejas vai spoguļportā pievieno trešo skatu, kas rāda ceļu pēc pārsūtīšanas, un tieši tur kļūst redzama asimetriskā maršrutēšana un filtrēšana.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Kāpēc promiskuitātes režīms salauž tuneļa adapteri
Promiskuitātes režīms lūdz draiverim piegādāt kadrus, kas nav adresēti resursdatoram, kas ir jēgpilni koplietotā Ethernet segmentā un ļoti maz jēgpilni punktpunkta tunelī. Daži draiveri lūgumu uztver mierīgi; citi pārstāj izņemt no rindas pārsūtāmo datplūsmu, un saskarne klusi kļūst par melnu caurumu. Ieraksts joprojām fiksē to, kas pienāk, tāpēc fails izskatās kā strādājoša savienojuma pierādījums. Tieši šī plaisa starp to, ko rāda fails, un to, ko izdarīja saskarne, ir visas lamatas.
Izslēdziet opciju pirms pirmās paketes, turiet ieraksta filtru šauru un izmantojiet nelielu buferi. Liels gredzenveida buferis noslogotā saskarnē izmet tieši tos kadrus, kuriem bija nozīme, tāpēc ieraksts ir pilnīgs visur, izņemot vietu, kur bija kļūda.
Ja savienojums ieraksta vidū iestrēgst, apturiet to un vērojiet atjaunošanos. Šis viens novērojums atdala ieraksta blakusefektu no īstas tuneļa kļūdas, un tas prasa mazāk laika nekā jebkāda filtru pielāgošana.
IPsec ieraksta padarīšana lasāmu
IPsec ieraksts pats par sevi nav lasāms, jo ESP šifrē lietderīgo slodzi. Wireshark to var atšifrēt, kad jūs nodrošināt sesijas atslēgas, vai kad tas var izsekot IKE sarunām, kas tās radīja, kas nozīmē, ka rokasspiedienam jābūt tajā pašā failā.
Atslēgas beidzas. Pēc tam, kad puses atjauno atslēgas, veco atslēgu kopums pārstāj darboties ieraksta vidū, un rezultāts izskatās pēc dekodētāja kļūdas, nevis laika robežas.
Ievērojiet ražotāja dokumentēto atslēgu formātu, nevis importējiet materiālu no nesaistīta avota, un esiet gatavi, ka dažas platformas pilnībā atteiksies no šīs darbplūsmas. Kad vārteja neizsniedz atslēgas vai neļauj veikt ierakstu, pieņemiet, ka lietderīgo slodzi no jūsu atrašanās vietas nevar pārbaudīt. Galapunktu žurnāli un saskarnes skaitītāji ir atlikušie pierādījumi, un tie parasti ir pietiekami maršrutēšanas jautājumam.
Ieraksts, ko varat droši kopīgot
Iekšējs ieraksts ir tuvāk akreditācijas datu noplūdei nekā žurnālam. Tajā var būt vārdi, adreses un vienkāršs teksts no protokoliem, kas rakstīti, pieņemot, ka neviens tos nekad nelasīs, un tāpēc pats fails ir jutīgais artefakts, nevis analīze.
Pārliecinieties, ka resursdators un tīkls ir tādi, kuros jums atļauts veikt ierakstu, pierakstiet gan saskarni, gan filtru kopā ar rezultātu, ierobežojiet sesiju līdz dažām minūtēm, kas atbild uz jautājumu, un pēc pabeigšanas noņemiet failu. Ja tas ir jākopīgo, vispirms aprakstiet plūsmu vai noņemiet lietderīgo slodzi.
Pēc tam atkārtojiet lietotāja sākotnējo uzdevumu. Ieraksts, kas pierāda, ka pakete ieradās, nav pierādījums, ka lietojumprogramma pieņēma atbildi, un atšķirība starp šiem diviem parasti ir tur, kur mīt īstā kļūda.