Kehilangan Ping pada VPN: kumpulkan permintaan Echo sebelum peratusan

Satu tangkapan mengandungi enam permintaan Echo dan tiga balasan, dan seseorang menulis kehilangan paket 50 peratus dalam tiket. Nombor itu mungkin benar untuk tangkapan dan palsu untuk terowong. Enam permintaan itu mungkin milik dua perbualan berbeza dengan dua kontrak penghantaran berbeza. Kumpulkan sebelum membahagi, dan nisbah berhenti menjadi bahagian menarik laporan.

Langkah 1: pisahkan aliran mengikut sumber dan destinasi

Permintaan Echo membawa sumber dan destinasi, dan dua medan itu menentukan perbualan mana yang dimilikinya. Probe yang dijana oleh gerbang menggunakan alamat terowong gerbang, manakala probe yang dimajukan bagi pihak hos LAN mengekalkan alamat hos itu. Sisi jauh mungkin mempunyai laluan pulangan untuk satu dan bukan yang lain, menyebabkan dua kumpulan berkelakuan berbeza atas sebab yang tiada kaitan dengan terowong.

Pisahkan tangkapan pada medan itu sebelum mengira apa-apa, dan kekalkan destinasi sebagai bahagian kunci. Dua aliran ke rakan berbeza tidak setanding walaupun berkongsi sumber.

Catat kumpulan dengan bilangannya, kerana langkah seterusnya menentukan balasan mana milik kumpulan mana. Kumpulan dengan tiga permintaan dan tiada balasan sepadan ialah penemuan. Kumpulan dengan tiga permintaan dan tiga balasan ialah garis asas.

Langkah 2: padankan pada pengecam dan jujukan

Format Echo dalam RFC 792 membawa pengecam dan nombor jujukan, dan menganggapnya sebagai medan yang memasangkan balasan dengan permintaannya. Kedua-duanya diperlukan untuk kerja itu. Nombor jujukan sahaja tidak unik, kerana penghantar atau proses berbeza boleh menggunakan semula nilai yang sama dalam satu tetingkap tangkapan. Pengecam menyempitkan penghantar dan jujukan menyempitkan kedudukan, dan pasangan itu bersama-sama menjadikan padanan boleh dipertahankan.

Balasan membalikkan arah alamat permintaannya, jadi padanan ialah pasangan permintaan-balasan bukan dua tuple yang serupa. Bandingkan sumber permintaan dengan destinasi balasan dan destinasi permintaan dengan sumber balasan, kemudian sahkan pengecam dan jujukan bersetuju.

Kekalkan juga tetingkap pemerhatian, kerana tangkapan panjang boleh mengandungi penggunaan semula sah bagi kedua-dua medan. Mengetatkan tetingkap kepada satu semburan menghilangkan sebahagian besar kekaburan itu. Ia juga menjadikan kiraan boleh dihasilkan semula oleh sesiapa yang membaca tiket.

tshark -r capture.pcap -Y 'icmp.type == 8' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq
tshark -r capture.pcap -Y 'icmp.type == 0' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq

Langkah 3: bandingkan tuple pada sempadan yang sama

Jika terjemahan alamat rangkaian terletak antara titik tangkapan dan rakan, alamat dalam permintaan dan balasan akan berbeza mengikut reka bentuk. Bandingkan tuple pada satu sempadan, atau bawa pemetaan secara eksplisit supaya perbezaan diambil kira. Mencampurkan permintaan sebelum terjemahan dengan balasan selepas terjemahan mencipta ketidakpadanan yang tidak pernah wujud pada wayar.

Tentukan sempadan sebelum mula mengira, dan nyatakan dalam laporan supaya orang seterusnya boleh menghasilkan semula pengumpulan. Satu tangkapan di sisi pelanggan dan satu lagi di sisi pelayan ialah dua sempadan berbeza. Setiap satu menjawab soalan berbeza tentang ke mana balasan hilang.

Kumpulan probe yang diterjemah juga mewarisi keadaan peranti terjemahan itu sendiri, yang mungkin menjadi sebab sebenar balasan tidak pernah tiba. Periksa keadaan itu sebelum menyalahkan laluan di sebaliknya.

tcpdump -ni any icmp and host 10.90.0.1 -c 20
tshark -r capture.pcap -Y 'icmp' -T fields -e ip.src -e ip.dst -e ip.ttl | head -20

Langkah 4: nyatakan apa yang tangkapan boleh dan tidak boleh buktikan

Jurang yang diperhatikan tidak membuktikan hos jauh berdiam diri. Titik tangkapan mungkin hanya melihat satu arah, penapis mungkin menggugurkan balasan, atau penimbal mungkin melimpah semasa tetingkap. Setiap satu menghasilkan ketiadaan yang sama dan kesimpulan berbeza.

Rekod lokasi tangkapan, ungkapan penapis dan pembilang gugur bersama kiraan, kerana nisbah tanpanya tidak boleh diaudit. Tiga baris itulah yang menjadikan nombor boleh dipertahankan kemudian.

Kemudian pisahkan apa yang pemerhatian tetapkan daripada apa yang dicadangkannya, dalam dua ayat bukan satu. Ayat pertama menyatakan kiraan dan sempadan. Ayat kedua menyatakan hipotesis dan apa yang akan mengesahkannya.

Apabila soalannya sama ada laluan tertentu menggugurkan paket, probe terkawal dengan alamat sumber eksplisit ialah bukti lebih kukuh daripada kiraan pasif trafik bercampur. Hantarnya dari mesin yang sama, pada masa yang sama, ke rakan yang sama. Ubah satu pemboleh ubah dan perbandingan kekal.

Laporkan kumpulan dan sempadan seterusnya

Laporan mempunyai tiga baris: definisi kumpulan, kiraan sepadan dalam setiap kumpulan dan sempadan tempat perbandingan dibuat. Pembaca kemudian dapat melihat satu kumpulan menjawab sepenuhnya dan satu lagi tidak, yang menunjuk kepada laluan atau kebenaran bukan kehilangan rawak.

Lampirkan fail tangkapan dan ungkapan penapis supaya pengumpulan boleh dihasilkan semula. Ringkasan tanpa fail ialah dakwaan, bukan hasil.

ping -c 5 -I 10.80.0.6 10.90.0.1
ping -c 5 -I 10.30.0.25 10.90.0.1
tshark -r capture.pcap -Y 'icmp.type == 8 || icmp.type == 0' -T fields -e ip.src -e ip.dst -e icmp.ident -e icmp.seq | sort | uniq -c | head

Apabila satu kumpulan menunjukkan lima balasan dan yang lain tiada, penemuan ialah satu sumber mempunyai laluan pulangan berfungsi dan yang lain tidak. Itu tiket yang jauh lebih baik daripada peratusan bercampur, dan ia mengarahkan pemeriksaan seterusnya ke laluan pulangan bukan ke instans VPN tidak berkaitan.