Mod promiskuiti pada penyesuai VPN mematikan sambungan
Tangkapan pada penyesuai terowong boleh menghentikan penghantarannya. Matikan mod promiskuiti, pilih lapisan yang menjawab soalan, dan anggap fail itu sebagai rahsia.
Wireshark berkelakuan sempurna pada antara muka Ethernet dan kemudian, pada penyesuai VPN, terowong berhenti menyalurkan trafik pada saat tangkapan bermula. Tetingkap tangkapan terus terisi, jadi alat itu kelihatan sihat sementara sambungan di bawahnya mati. Mod promiskuiti ialah punca biasa, kerana pemacu terowong yang diminta setiap bingkai pada segmen yang tidak dimilikinya boleh berakhir dalam keadaan yang tiada apa keluar.
Matikan pilihan itu dahulu, kemudian tentukan lapisan mana yang benar-benar perlu anda lihat.
Dua penyesuai, dua pandangan berbeza
Klien VPN biasanya membentangkan dua antara muka: yang fizikal yang membawa pengangkutan disulitkan, dan yang maya yang membawa trafik dalaman yang dinyahsulit. Kedua-duanya menjawab soalan berbeza. Tangkapan fizikal menunjukkan titik hujung, port dan saiz paket, manakala yang maya menunjukkan protokol aplikasi sebagaimana terowong menyampaikannya. Memilih satu tanpa tahu soalan apa yang ditanya membazirkan tangkapan itu.
Tiada pandangan yang menjadi superset pandangan lain, dan satu tangkapan jarang menjawab kedua-dua soalan serentak.
Pilih antara muka daripada soalan dan bukan daripada susunan senarai, kerana klien gaya PPP boleh membentangkan penyesuainya sebagai peranti Ethernet dan nama paparan tidak akan memberitahu anda lapisan mana yang dipilih. Tangkapan pada gateway atau port cermin menambah pandangan ketiga, yang menunjukkan laluan selepas penghantaran, dan di situlah penghalaan tak simetri serta penapisan menjadi kelihatan.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Mengapa mod promiskuiti merosakkan penyesuai terowong
Mod promiskuiti meminta pemacu menyampaikan bingkai yang tidak dialamatkan kepada hos, yang masuk akal pada segmen Ethernet dikongsi dan sangat kurang masuk akal pada terowong titik ke titik. Sesetengah pemacu mengendalikan permintaan itu dengan tenang; yang lain berhenti mengeluarkan trafik hantar daripada baris gilir, dan antara muka secara senyap menjadi lubang hitam. Tangkapan masih merekodkan apa yang tiba, jadi fail itu kelihatan seperti bukti pautan yang berfungsi. Jurang antara apa yang ditunjukkan fail dan apa yang dilakukan antara muka itulah keseluruhan perangkapnya.
Matikan pilihan sebelum paket pertama, kekalkan penapis tangkapan sempit dan gunakan penimbal kecil. Penimbal gelang besar pada antara muka sibuk menggugurkan bingkai yang penting, menghasilkan tangkapan yang lengkap di merata tempat kecuali di tempat kerosakan berlaku.
Jika pautan tersekat di tengah tangkapan, hentikannya dan perhatikan pemulihan. Pemerhatian tunggal itu memisahkan kesan sampingan tangkapan daripada kerosakan terowong sebenar, dan ia mengambil masa kurang daripada sebarang penalaan penapis.
Menjadikan tangkapan IPsec boleh dibaca
Tangkapan IPsec sahaja tidak boleh dibaca, kerana ESP menyulitkan muatan. Wireshark boleh menyahkodnya apabila anda membekalkan kunci sesi, atau apabila ia dapat mengikuti rundingan IKE yang menghasilkannya, yang bermaksud jabat tangan mesti berada dalam fail yang sama.
Kunci luput. Selepas kedua-dua pihak memperbaharui kunci, satu set kunci lama berhenti berfungsi di tengah tangkapan, dan hasilnya kelihatan seperti pepijat penyahkod dan bukan sempadan masa.
Ikuti format kunci yang didokumenkan vendor dan bukan mengimport bahan daripada sumber tidak berkaitan, dan jangkakan sesetengah platform menolak keseluruhan aliran kerja itu. Apabila gateway tidak menyerahkan kunci atau tidak membenarkan tangkapan, terimalah bahawa muatan tidak boleh diperiksa dari tempat anda. Log titik hujung dan pembilang antara muka ialah bukti yang tinggal, dan ia biasanya cukup untuk soalan penghalaan.
Tangkapan yang boleh anda kongsi dengan selamat
Tangkapan dalaman lebih hampir kepada pembuangan kelayakan daripada log. Ia boleh mengandungi nama, alamat dan teks biasa daripada protokol yang ditulis dengan andaian tiada siapa akan membacanya, yang menjadikan fail itu sendiri artifak sensitif dan bukan analisisnya.
Pastikan hos dan rangkaian ialah yang anda dibenarkan menangkap, catatkan antara muka dan penapis bersama hasilnya, hadkan sesi kepada beberapa minit yang menjawab soalan, dan hapuskan fail setelah selesai. Jika ia perlu dikongsi, huraikan aliran atau buang muatan terlebih dahulu.
Kemudian ulangi tugas pengguna asal. Tangkapan yang membuktikan paket tiba bukan bukti bahawa aplikasi menerima jawapannya, dan perbezaan antara keduanya biasanya ialah tempat kerosakan sebenar berada.