VPN कॅप्चरमधील आतील आणि बाहेरील पॅकेट: आकार वेगळे का असतात

तुम्ही टनेल इंटरफेसवर 1400 बाइटचे पॅकेट कॅप्चर करता, भौतिक इंटरफेसवर पुन्हा कॅप्चर करता, आणि आकडे जुळायला नकार देतात। पत्ते वेगळे आहेत, आकार वेगळे आहेत, आणि दुसरी फाइल वेगळ्या संभाषणासारखी दिसते। काहीही तुटलेले नाही। दोन वेगळे पॅकेट दोन वेगळ्या स्तरांवर बसलेले आहेत, आणि त्यांच्यातील अंतर म्हणजे टनेल तुमच्या ट्रॅफिकला काय करते ते। MTU ला दोष देण्यापूर्वी दोन्ही दृश्ये वाचा।

दोन दृष्टिकोन, आणि प्रत्येकजण दाखवणारे पॅकेट

टनेल इंटरफेसवर घेतलेले कॅप्चर आतील पॅकेट दाखवते: कोणतेही संरक्षण लागू होण्यापूर्वी, त्याचे मूळ स्रोत आणि गंतव्य घेऊन जाणारा ॲप्लिकेशनचा पेलोड। भौतिक इंटरफेसवरील कॅप्चर बाहेरील पॅकेट दाखवते: एक IP हेडर, एक ट्रान्सपोर्ट हेडर, एन्कॅप्सुलेशन, आणि नंतर पेलोड म्हणून एन्क्रिप्ट केलेले आतील पॅकेट। तेच संभाषण, वेगळ्या वस्तू। फाइलमध्ये कोणते आहे हे तुम्ही नाव दिल्यावर, विसंगती गूढ राहत नाही।

आकारातील फरक म्हणजे जादा भार, आणि पत्त्यातील फरक म्हणजे रचना। हे उलटून पाहा आणि गोंधळ अंदाजण्याजोगा होतो: लोक 1400 बाइटच्या आतील पॅकेटची 1450 बाइटच्या बाहेरील पॅकेटशी तुलना करतात, काहीतरी चुकीचे आहे असे ठरवतात आणि कधीही दोषी नसलेल्या MTU सेटिंग्ज बदलू लागतात। फाइलला इंटरफेस आणि स्तराने नाव द्या, कारण ते लेबल वाचकाला पहिली गरज असते आणि लोक पहिल्यांदा वगळतात तेच।

कॅप्चर सुरू करण्यापूर्वी स्तर ठरवा

पहिले पॅकेट लिहिले जाण्यापूर्वी तुमच्या प्रश्नाचे उत्तर कोणता स्तर देतो हे ठरवा। MTU च्या प्रश्नाला सहसा बाहेरील दृश्य लागते, कारण हेडर तिथे जमा होतात आणि मार्गाची मर्यादा तिथे दिसते। ॲप्लिकेशनच्या प्रश्नाला सहसा आतील दृश्य लागते, कारण तुम्हाला महत्त्वाचा असलेला पेलोड तिथेच अजून आहे। योजनेशिवाय दोन्ही कॅप्चर केल्यास दोन फाइली मिळतात आणि निष्कर्ष नाही।

निरुपद्रवी, अधिकृत चाचणी वापरा आणि तुम्हाला महत्त्वाच्या स्रोत, गंतव्य आणि वेळेवर फिल्टर करा। गोळा करण्यापूर्वी कॅप्चर साधनाचे इंटरफेस आणि फिल्टर पर्याय वाचा, कारण मेटाडेटा सहसा पुरेसा असतो आणि पेलोडपेक्षा खूप सोपा सामायिक करता येतो। आतील कॅप्चर सर्वसाधारणपणे संवेदनशील माना, कारण त्यात एन्क्रिप्ट न केलेला ॲप्लिकेशन डेटा असतो जो मार्गावर पुढेच संरक्षित होतो।

आकारातील फरकात प्रत्यक्षात काय असते

बाहेरील पॅकेट जादा हेडर आणि संरक्षण सामग्री घेऊन जाते, आणि किती घेऊन जाते हे प्रोटोकॉल आणि त्याच्या पर्यायांवर अवलंबून असते। मार्गावरील विभाजन, एकत्रीकरण किंवा पुनर्रचना आतील पॅकेट आणि ते घेऊन जाणाऱ्या बाहेरील पॅकेटमधील दिसणारे एक-एक नाते तोडू शकते, त्यामुळे आकारानुसार तुलना नेहमी उपलब्ध नसते। MTU दोषाची शंका असल्यास, आकाराचा अभिप्राय आणि ट्रॅफिक थांबण्याचा बिंदू शोधा, नंतर त्याची ॲप्लिकेशन जे नोंदवते त्याशी तुलना करा। उत्तर नसलेला पुनर्प्रसारण नमुना पुढील हॉपचा आकार घेऊन जाणाऱ्या ICMP त्रुटीपेक्षा वेगळा संकेत आहे।

होस्ट सोडणारे एकच पॅकेट दूरच्या टोकाला ते मिळाले का याबद्दल काहीही सिद्ध करत नाही। तुमचे कॅप्चर तुमच्याच इंटरफेसवर संपत असेल, तर कर्नेलने काहीतरी बाहेर टाकले हे तुम्ही दाखवले आहे, आणि मार्गाबद्दल उपलब्ध असलेला तो सर्वात कमकुवत पुरावा आहे। कॅप्चरची पुनरावृत्ती होणाऱ्या लक्षणाशी जोडणी करा: तेच गंतव्य, तीच क्रिया, तोच आकार, एक चल बदलून दोनदा चालवा।

ऑफलोड आकड्यांमध्ये वाचणे

होस्टच्या बाजूचे विभाजन आणि इतर ऑफलोड दुसरा विकृती आणतात, आणि स्थानिक कॅप्चर तारेशी जुळत नाहीत असे करणारे तेच आहे। स्थानिक कॅप्चर असे बफर दाखवू शकते जे ॲडॉप्टर नंतर विभागते, त्यामुळे लिंकवरील फ्रेम फाइल सुचवते त्यापेक्षा लहान आणि संख्येने जास्त असतात। म्हणूनच कॅप्चर फाइलमधील मोठा बफर म्हणजे जास्त आकाराची फ्रेम प्रत्येक लिंकवरून गेली असा पुरावा नाही। आकार तुमच्या निष्कर्षासाठी महत्त्वाचे असल्यास, कॅप्चर कुठे घेतले आणि त्या इंटरफेसवर ऑफलोड सक्रिय होता का ते नोंदवा।

अन्यथा तुम्ही मार्गाचे वर्तन नाही तर होस्टची सोय मोजत आहात। इंटरफेस आणि ऑफलोड स्थितीसह नाव दिलेल्या दोन फाइली यापैकी बहुतेक वाद एका मिनिटात मिटवतात।

कॅप्चर पुरावा राहत नाही तिथे

एन्क्रिप्ट केलेली बाहेरील पॅकेट दिसणे हे दाखवते की या चाचणी परिस्थितीत संरक्षणाची सीमा आहे, आणि ते उपकरणावरील इतर ॲप्लिकेशन, ऑपरेटरचे हाताळणे किंवा टोकाच्या स्वतःच्या स्थितीबद्दल काहीही सांगत नाही। टनेलच्या आत स्पष्ट मजकूर दिसणे हेही टनेल तुटलेला आहे असा अर्थ नाही; याचा अर्थ तुम्ही एन्क्रिप्शन बिंदूच्या वर कॅप्चर केले, आणि ती पाहण्याची वैध जागा आहे। कॅप्चर हा जागेबद्दलचा पुरावा आहे, एखाद्या प्रणालीबद्दलचा निवाडा नाही, आणि तिकिटाने तसे वर्णन केले पाहिजे। अहवालात व्याप्तीचे वाक्य ठेवा, कारण एक निरीक्षण ऑडिट दावा होण्यापासून थांबवतो तेच।

प्रत्येक फाइलला तिचा इंटरफेस, फिल्टर आणि टाइमस्टॅम्पसह नाव द्या, आणि तपासणी संपल्यावर ती हटवा। tcpdump हस्तपुस्तिका येथे वापरलेले इंटरफेस आणि फिल्टर फ्लॅग, तसेच कॅप्चर लहान ठेवणारे फ्लॅग नोंदवते।

पुरावा सामायिक करावाच लागल्यास, पेलोडऐवजी आकार, टाइमस्टॅम्प आणि फ्लॅग सामायिक करा। प्रश्न पॅकेटच्या आकाराबद्दल होता, आणि उत्तराला क्वचितच कोणाचा डेटा लागतो।