Внатрешни и надворешни пакети во VPN снимање: зошто големините се разликуваат

Снимате пакети од 1400 бајти на тунелскиот интерфејс, снимате повторно на физичкиот, и бројките одбиваат да се совпаднат. Адресите се разликуваат, големините се разликуваат, и втората датотека изгледа како друг разговор. Ништо не е расипано. Два различни пакети стојат на два различни слоја, а јазот меѓу нив е она што тунелот го прави со вашиот сообраќај. Прочитајте ги двата погледа пред да го обвините MTU.

Две гледишта и пакетот што го покажува секое

Снимање направено на тунелскиот интерфејс го покажува внатрешниот пакет: носивиот дел на апликацијата со неговиот оригинален извор и одредиште, пред да се примени каква било заштита. Снимање на физичкиот интерфејс го покажува надворешниот пакет: IP заглавие, транспортно заглавие, инкапсулацијата, а потоа шифрираниот внатрешен пакет како носив дел. Ист разговор, различни објекти. Откако ќе именувате кој од нив го содржи датотеката, несовпаѓањето престанува да биде мистерија.

Разликата во големина е дополнителен товар, а разликата во адреси е дизајн. Свртете го тоа обратно и збунетоста станува предвидлива: луѓето споредуваат внатрешен пакет од 1400 бајти со надворешен пакет од 1450 бајти, заклучуваат дека нешто е погрешно и почнуваат да менуваат MTU поставки што никогаш не биле виновни. Означете ја датотеката со интерфејсот и слојот, бидејќи таа ознака е првото нешто што му треба на читателот и првото што луѓето го испуштаат.

Одлучете за слојот пред да почнете со снимањето

Одлучете кој слој одговара на вашето прашање пред да се запише првиот пакет. Прашањето за MTU обично бара надворешниот поглед, бидејќи таму се собираат заглавијата и таму се појавува ограничувањето на патеката. Прашањето за апликација обично бара внатрешниот поглед, бидејќи таму носивиот дел што ве интересира сѐ уште постои. Снимање на двете без план дава две датотеки и никаков заклучок.

Користете безопасен, овластен тест и филтрирајте по изворот, одредиштето и времето што ве интересираат. Прочитајте ги интерфејсот и опциите за филтрирање на алатката за снимање пред да собирате, бидејќи метаподатоците обично се доволни и се далеку полесно споделиви од носивиот дел. Снимањето на внатрешноста третирајте го како чувствително по стандард, бидејќи содржи нешифрирани податоци од апликацијата што стануваат заштитени само понатаму по патеката.

Што навистина содржи разликата во големина

Надворешниот пакет носи дополнителни заглавија и заштитен материјал, а колку носи зависи од протоколот и неговите опции. Фрагментацијата, агрегирањето или прередувањето по патеката може да ја наруши очигледната врска еден-на-еден меѓу внатрешниот пакет и надворешните пакети што го носат, па споредбата по големина не е секогаш достапна. За сомнеж за MTU дефект, барајте повратна информација за големината и точката каде сообраќајот застанува, па споредете го тоа со она што го известува апликацијата. Моделот на повторно пренесување без одговор е различен сигнал од ICMP грешката што носи големина на следниот скок.

Еден пакет што го напушта домаќинот не докажува ништо за тоа дали далечниот крај го примил. Ако вашето снимање завршува на вашиот сопствен интерфејс, сте покажале дека јадрото испуштило нешто, а тоа е најслабиот достапен доказ за патеката. Комбинирајте го снимањето со повторлив симптом: исто одредиште, иста операција, иста големина, извршени двапати со една променета варијабла.

Читање на истоварувањето во бројките

Сегментацијата на страната на домаќинот и другите истоварувања додаваат второ искривување, и токму тоа прави локалните снимања да не се совпаѓаат со жицата. Локалното снимање може да покаже бафери што адаптерот подоцна ги дели, па рамките на линкот се помали и побројни отколку што сугерира датотеката. Затоа голем бафер во датотеката за снимање не докажува дека преголема рамка поминала низ секој линк. Ако големините се важни за вашиот заклучок, запишете каде е направено снимањето и дали истоварувањето било активно на тој интерфејс.

Инаку ја мерите удобноста на домаќинот, а не однесувањето на патеката. Две датотеки означени со нивниот интерфејс и состојбата на истоварување решаваат повеќето од овие спорови за една минута.

Каде снимањето престанува да биде доказ

Гледањето шифрирани надворешни пакети покажува дека заштитна граница постои под овие тест услови, и не кажува ништо за другите апликации на уредот, за постапувањето на операторот или за состојбата на крајната точка. Гледањето чист текст внатре во тунелот исто така не значи дека тунелот е расипан; значи дека снимавте над точката на шифрирање, што е сѐ уште легитимно место за гледање. Снимањето е доказ за место, не пресуда за систем, и тикетот треба така да го опише. Задржете ја реченицата за опфатот во извештајот, бидејќи таа е она што спречува едно набљудување да стане тврдење од ревизија.

Именувајте ја секоја датотека со нејзиниот интерфејс, филтер и временска ознака, и избришете ја кога истрагата завршува. Прирачникот за tcpdump ги документира овде користените знаменца за интерфејс и филтер, вклучително и оние што го одржуваат снимањето мало.

Ако мора да споделите докази, споделете големини, временски ознаки и знаменца наместо носивиот дел. Прашањето беше за големината на пакетот, а одговорот ретко ги бара нечии податоци.