Paket dalam dan luar dalam tangkapan VPN: mengapa saiz berbeza

Anda menangkap paket 1400 bait pada antara muka terowong, menangkap lagi pada antara muka fizikal, dan nombornya enggan sepadan. Alamat berbeza, saiz berbeza, dan fail kedua kelihatan seperti perbualan lain. Tiada apa yang rosak. Dua paket berbeza terletak pada dua lapisan berbeza, dan jurang antara keduanya ialah apa yang terowong lakukan pada trafik anda. Baca kedua-dua pandangan sebelum menyalahkan MTU.

Dua sudut pandangan, dan paket yang ditunjukkan oleh setiap satu

Tangkapan yang diambil pada antara muka terowong menunjukkan paket dalam: muatan aplikasi yang membawa sumber dan destinasinya yang asal, sebelum sebarang perlindungan dikenakan. Tangkapan pada antara muka fizikal menunjukkan paket luar: pengepala IP, pengepala pengangkutan, penkapsulan, dan kemudian paket dalam yang tersulit sebagai muatan. Perbualan yang sama, objek yang berbeza. Setelah anda menamakan yang mana terkandung dalam fail, ketidakpadanan berhenti menjadi misteri.

Perbezaan saiz ialah overhed, dan perbezaan alamat ialah reka bentuk. Balikkan perkara itu dan kekeliruan menjadi boleh dijangka: orang membandingkan paket dalam 1400 bait dengan paket luar 1450 bait, memutuskan ada sesuatu yang tidak kena, dan mula menukar tetapan MTU yang tidak pernah menjadi punca. Labelkan fail dengan antara muka dan lapisan, kerana label itu perkara pertama yang pembaca perlukan dan perkara pertama yang orang tinggalkan.

Tentukan lapisan sebelum memulakan tangkapan

Tentukan lapisan mana yang menjawab soalan anda sebelum paket pertama ditulis. Soalan MTU biasanya memerlukan pandangan luar, kerana di situlah pengepala terkumpul dan di situlah had laluan muncul. Soalan aplikasi biasanya memerlukan pandangan dalam, kerana di situlah muatan yang anda pedulikan masih wujud. Menangkap kedua-duanya tanpa pelan menghasilkan dua fail dan tiada kesimpulan.

Gunakan ujian yang tidak berbahaya dan dibenarkan serta tapis pada sumber, destinasi dan masa yang anda pedulikan. Baca antara muka dan pilihan penapis alat tangkapan sebelum mengumpul, kerana metadata biasanya mencukupi dan jauh lebih mudah dikongsi daripada muatan. Anggap tangkapan dalam sebagai sensitif secara lalai, kerana ia menyimpan data aplikasi tidak tersulit yang hanya menjadi terlindung lebih jauh di sepanjang laluan.

Apa yang sebenarnya terkandung dalam perbezaan saiz

Paket luar membawa pengepala tambahan dan bahan perlindungan, dan berapa banyak yang dibawanya bergantung pada protokol dan pilihannya. Pemfragmentan, pengagregatan atau penyusunan semula di sepanjang laluan boleh memecahkan hubungan satu-dengan-satu yang ketara antara paket dalam dan paket luar yang membawanya, jadi perbandingan mengikut saiz tidak selalu tersedia. Untuk kerosakan MTU yang disyaki, cari maklum balas saiz dan titik trafik berhenti, kemudian bandingkannya dengan apa yang dilaporkan oleh aplikasi. Corak penghantaran semula tanpa balasan ialah isyarat berbeza daripada ralat ICMP yang membawa saiz hop seterusnya.

Satu paket yang keluar dari hos tidak membuktikan apa-apa tentang sama ada hujung jauh menerimanya. Jika tangkapan anda berakhir pada antara muka anda sendiri, anda telah menunjukkan bahawa kernel mengeluarkan sesuatu, dan itu ialah bukti paling lemah yang tersedia tentang laluan. Gabungkan tangkapan dengan gejala yang boleh diulang: destinasi sama, operasi sama, saiz sama, dijalankan dua kali dengan satu pemboleh ubah diubah.

Membaca offload ke dalam nombor

Pensegmenan di sebelah hos dan offload lain menambah herotan kedua, dan itulah yang membuatkan tangkapan setempat tidak sepadan dengan wayar. Tangkapan setempat boleh menunjukkan penimbal yang kemudiannya dipecahkan oleh penyesuai, jadi bingkai pada pautan lebih kecil dan lebih banyak bilangannya daripada yang dicadangkan oleh fail. Itulah sebabnya penimbal besar dalam fail tangkapan tidak membuktikan bahawa bingkai bersaiz berlebihan melintasi setiap pautan. Jika saiz penting kepada kesimpulan anda, catat di mana tangkapan diambil dan sama ada offload aktif pada antara muka itu.

Jika tidak, anda mengukur keselesaan hos dan bukan tingkah laku laluan. Dua fail yang dilabel dengan antara muka dan keadaan offloadnya menyelesaikan kebanyakan pertikaian ini dalam satu minit.

Di mana tangkapan berhenti menjadi bukti

Melihat paket luar yang tersulit menunjukkan bahawa sempadan perlindungan wujud di bawah keadaan ujian ini, dan ia tidak mengatakan apa-apa tentang aplikasi lain pada peranti, pengendalian pengendali, atau keadaan hujung itu sendiri. Melihat teks biasa di dalam terowong juga tidak bermakna terowong itu rosak; ia bermakna anda menangkap di atas titik penyulitan, yang merupakan tempat yang sah untuk melihat. Tangkapan ialah bukti tentang sesuatu tempat, bukan keputusan tentang sesuatu sistem, dan tiket harus menggambarkannya begitu. Kekalkan ayat skop dalam laporan, kerana itulah yang menghalang satu pemerhatian daripada menjadi dakwaan audit.

Namakan setiap fail dengan antara muka, penapis dan cap masanya, dan hapuskannya apabila siasatan tamat. Manual tcpdump mendokumentasikan bendera antara muka dan penapis yang digunakan di sini, termasuk yang mengekalkan tangkapan kekal kecil.

Jika anda mesti berkongsi bukti, kongsi saiz, cap masa dan bendera dan bukan muatan. Soalannya ialah tentang saiz paket, dan jawapannya jarang memerlukan data sesiapa.