Неселективниот режим на VPN адаптер ја убива врската
Снимање на адаптер за тунел може да го запре неговото препраќање. Исклучете го неселективниот режим, изберете го слојот што одговара на прашањето и третирајте ја датотеката како тајна.
Wireshark работи беспрекорно на Ethernet интерфејс, а потоа на VPN адаптер тунелот престанува да пропушта сообраќај во моментот кога започнува снимањето. Прозорецот за снимање продолжува да се полни, така што алатката изгледа здрава додека врската под неа умира. Неселективниот режим е вообичаената причина, бидејќи драјвер за тунел од кој се бара секоја рамка на сегмент што го нема може да заврши во состојба во која ништо не излегува.
Прво исклучете ја таа опција, потоа одлучете кој слој навистина треба да го видите.
Два адаптера, два различни погледи
VPN клиент обично прикажува два интерфејса: физичкиот што го носи шифрираниот транспорт и виртуелниот што го носи дешифрираниот внатрешен сообраќај. Тие одговараат на различни прашања. Физичкото снимање покажува крајни точки, порти и големини на пакети, додека виртуелниот ги покажува апликациските протоколи онака како што ги доставува тунелот. Изборот на еден без знаење на кое прашање одговарате го троши снимањето.
Ниту еден поглед не е надмножество на другиот и едно снимање ретко одговара на двете прашања одеднаш.
Изберете го интерфејсот според прашањето, а не според редоследот на списокот, бидејќи клиент во PPP стил може да го претстави својот адаптер како Ethernet уред и прикажаното име нема да ви каже кој слој сте го избрале. Снимањето на порта или на огледална порта додава трет поглед, кој ја покажува патеката по препраќањето, и токму таму асиметричното рутирање и филтрирањето стануваат видливи.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Зошто неселективниот режим го расипува адаптерот за тунел
Неселективниот режим бара од драјверот да доставува рамки што не се упатени до домаќинот, што има смисла на заеднички Ethernet сегмент и многу малку смисла на тунел точка-до-точка. Некои драјвери го прифаќаат барањето смирено; други престануваат да ја вадат од редот сообраќајот за испраќање и интерфејсот тивко станува црна дупка. Снимањето и натаму запишува што пристигнува, така што датотеката изгледа како доказ за врска што работи. Токму таа празнина меѓу она што го покажува датотеката и она што го направил интерфејсот е целата стапица.
Исклучете ја опцијата пред првиот пакет, држете го филтерот за снимање тесен и користете мал бафер. Голем прстенест бафер на зафатен интерфејс ги испушта токму рамките што биле важни, што дава снимање што е целосно насекаде освен таму каде што била грешката.
Ако врската заглави среде снимање, запрете ја и гледајте закрепнувањето. Тоа едно набљудување го одделува несаканиот ефект од снимањето од вистинската грешка на тунелот и трае помалку од секое прилагодување на филтри.
Како да се направи IPsec снимање читливо
IPsec снимањето само по себе не е читливо, бидејќи ESP ја шифрира носивоста. Wireshark може да го декодира кога ќе ги доставите клучевите на сесијата или кога може да ги следи IKE преговорите што ги создале, што значи дека ракувањето мора да биде во истата датотека.
Клучевите истекуваат. Откако страните ќе ги обноват клучевите, збирот стари клучеви престанува да работи на средината од снимањето, а резултатот изгледа како грешка во декодерот, а не како временска граница.
Следете го документираниот формат на клучеви на добавувачот наместо да увезувате материјал од неповрзан извор и очекувајте некои платформи целосно да го одбијат овој работен тек. Кога портата не ги предава клучевите или не го дозволува снимањето, прифатете дека носивоста не може да се прегледа од вашето место. Дневниците на крајните точки и бројачите на интерфејсот се преостанатите докази и обично се доволни за прашање за рутирање.
Снимање што можете безбедно да го споделите
Внатрешното снимање е поблиску до истекување на акредитиви отколку до дневник. Може да содржи имиња, адреси и јасен текст од протоколи напишани со претпоставка дека никој никогаш нема да ги чита, што ја прави самата датотека чувствителен артефакт, а не анализата.
Проверете дали домаќинот и мрежата се такви на кои ви е дозволено да снимате, запишете го и интерфејсот и филтерот заедно со резултатот, ограничете ја сесијата на неколку минути што одговараат на прашањето и отстранете ја датотеката кога ќе завршите. Ако мора да се сподели, прво опишете го текот или отстранете ја носивоста.
Потоа повторете ја првобитната задача на корисникот. Снимање што докажува дека пакетот пристигнал не е доказ дека апликацијата го прифатила одговорот, а разликата меѓу тие две обично е местото каде што живее вистинската грешка.