Indre og ytre pakkar i ein VPN-fangst: kvifor storleikane ikkje stemmer

Du fangar pakkar på 1400 byte på tunnelgrensesnittet, fangar på nytt på det fysiske grensesnittet, og tala nektar å stemme. Adressene skil seg, storleikane skil seg, og den andre fila ser ut som ein heilt annan samtale. Ingenting er øydelagt. To ulike pakkar ligg på to ulike lag, og avstanden mellom dei er det tunnelen gjer med trafikken din. Les begge visingane før du gir MTU-en skulda.

To utsiktspunkt, og pakken kvar av dei viser

Eit opptak gjort på tunnelgrensesnittet viser den indre pakken: nyttelasta til applikasjonen med si opphavlege kjelde og destinasjon, før noka vern er brukt. Eit opptak på det fysiske grensesnittet viser den ytre pakken: ein IP-header, ein transporthovuddel, innkapslinga og deretter den krypterte indre pakken som nyttelast. Same samtale, ulike objekt. Når du namngir kva av dei fila inneheld, er ikkje avviket lenger noko mysterium.

Storleiksskilnaden er overhead, og adresseskilnaden er design. Snu det rundt, og forvirringa blir føreseieleg: folk samanliknar ein indre pakke på 1400 byte med ein ytre pakke på 1450 byte, bestemmer at noko er gale, og byrjar å endre MTU-innstillingar som aldri var skulda. Merk fila med grensesnittet og laget, for den merkinga er det første ein lesar treng og det første folk utelèt.

Bestem laget før du startar opptaket

Bestem kva lag som svarer på spørsmålet ditt, før den første pakken blir skriven. Eit MTU-spørsmål treng vanlegvis den ytre visinga, for det er der headarar hopar seg opp og der grensa til banen dukkar opp. Eit applikasjonsspørsmål treng vanlegvis den indre visinga, for det er der nyttelasta du bryr deg om framleis finst. Å ta opp begge utan ein plan gir to filer og inga konklusjon.

Bruk ein ufarleg, autorisert test og filtrer på kjelda, destinasjonen og tidspunktet du bryr deg om. Les grensesnitt- og filtervala til opptaksverktøyet før du samlar inn, sidan metadata vanlegvis er nok og langt lettare å dele enn nyttelast. Handsame det indre opptaket som sensitivt som standard, for det inneheld ukrypterte applikasjonsdata som først blir verna lenger framme på banen.

Kva storleiksskilnaden faktisk inneheld

Den ytre pakken ber ekstra headarar og vernemateriale, og kor mykje han ber avheng av protokollen og vala hans. Fragmentering, aggregering eller omorganisering langs banen kan bryte det tilsynelatande ein-til-ein-forholdet mellom ein indre pakke og dei ytre pakkane som ber han, så ei storleik-for-storleik-samanlikning er ikkje alltid tilgjengeleg. Ved ein mistenkt MTU-feil, sjå etter storleikstilbakemelding og punktet der trafikken stoppar, og samanlikn det med det applikasjonen rapporterer. Eit retransmisjonsmønster utan svar er eit anna signal enn ein ICMP-feil som ber ein nestehopp-storleik.

Ein einaste pakke som forlèt verten beviser ingenting om korvidt den andre enden tok imot han. Viss opptaket ditt sluttar ved ditt eige grensesnitt, har du vist at kjernen sende ut noko, som er det svakaste beviset som finst om banen. Kombiner opptaket med eit repeterbart symptom: same destinasjon, same operasjon, same storleik, køyrd to gonger med éin variabel endra.

Å lese offload inn i tala

Segmentering på vertssida og annan offload legg til ei andre forvrengning, og det er den som får lokale opptak til å vere usamde med linja. Eit lokalt opptak kan vise buffar som adapteren seinare deler opp, så rammene på lenka er mindre og fleire enn fila antyder. Det er derfor ein stor buffer i opptaksfila ikkje beviser at ei overstor ramme kryssa kvar lenke. Viss storleikane betyr noko for konklusjonen din, noter kvar opptaket vart gjort og om offload var aktivt på det grensesnittet.

Elles måler du bekvemmelegheita til verten i staden for åtferda til banen. To filer merkte med grensesnittet og offload-tilstanden avgjer dei fleste av desse diskusjonane på eit minutt.

Kvar opptaket sluttar å vere bevis

Å sjå krypterte ytre pakkar viser at det finst ei vern grense under desse testtilhøva, og det seier ingenting om andre applikasjonar på eininga, handteringa til operatøren eller tilstanden til endepunktet sjølv. Å sjå klartekst inne i tunnelen betyr heller ikkje at tunnelen er øydelagd; det betyr at du tok opp over krypteringspunktet, som er ein legitim stad å sjå. Eit opptak er bevis om ein stad, ikkje ein dom over eit system, og saka bør skildrast slik. Hald omfangssetninga i rapporten, for det er ho som hindrar ei einskild observasjon frå å bli ein revisjonspåstand.

Gi kvar fil namn etter grensesnitt, filter og tidsstempel, og slett ho når undersøkinga er over. tcpdump-handboka dokumenterer grensesnitt- og filterflagga som blir brukte her, inkludert dei som held eit opptak lite.

Viss du må dele bevis, del storleikar, tidsstempel og flagg i staden for nyttelast. Spørsmålet gjaldt pakkestorleik, og svaret treng sjeldan dataa til nokon.