Promiskuøs modus på ein VPN-adapter drep tilkoblinga
Eit opptak på ein tunneladapter kan stanse vidaresendinga. Slå av promiskuøs modus, vel laget som svarar på spørsmålet, og behandle fila som ein hemmelegheit.
Wireshark oppfører seg perfekt på eit Ethernet-grensesnitt, og så, på ein VPN-adapter, sluttar tunnelen å føre trafikk i det augneblinken opptaket byrjar. Opptaksvindauget held fram med å fyllast, så verktøyet ser friskt ut medan tilkoblinga under det døyr. Promiskuøs modus er den vanlege årsaka, fordi ein tunneldrivar som blir bede om kvar ramme på eit segment han ikkje har, kan ende i ein tilstand der ingenting slepp ut.
Slå av det valet først, og avgjer deretter kva lag du faktisk treng å sjå.
To adapterar, to ulike visingar
Ein VPN-klient presenterer vanlegvis to grensesnitt: det fysiske som ber den krypterte transporten, og eit virtuelt som ber den dekrypterte indre trafikken. Dei svarar på ulike spørsmål. Det fysiske opptaket viser endepunkt, portar og pakkestorleikar, medan det virtuelle viser applikasjonsprotokollane slik tunnelen leverer dei. Å velje eitt utan å vite kva spørsmål du stiller, sløser bort opptaket.
Ingen av visingane er ei overmengd av den andre, og eitt opptak svarar sjeldan på begge spørsmåla samstundes.
Vel grensesnittet ut frå spørsmålet og ikkje ut frå rekkjefølgja i lista, fordi ein klient i PPP-stil kan presentere adapteren sin som ei Ethernet-eining, og visingsnamnet vil ikkje fortelje deg kva lag du valde. Eit opptak på ein gateway eller ein spegelport legg til ei tredje vising, som viser vegen etter vidaresendinga, og det er der asymmetrisk ruting og filtrering blir synleg.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Kvifor promiskuøs modus øydelegg ein tunneladapter
Promiskuøs modus ber drivaren levere rammer som ikkje er adresserte til verten, noko som gir meining på eit delt Ethernet-segment og svært lite meining på ein punkt-til-punkt-tunnel. Nokre drivarar handterer førespurnaden roleg; andre sluttar å ta sendetrafikk ut av køen, og grensesnittet blir stille eit svart hol. Opptaket registrerer framleis det som kjem inn, så fila ser ut som prov på ei fungerande tilkobling. Det gapet mellom det fila viser og det grensesnittet gjorde, er heile fella.
Slå av valet før den første pakken, hald opptaksfilteret smalt og bruk ein liten buffer. Ein stor ringbuffer på eit travelt grensesnitt mistar nettopp rammene som betydde noko, og gir eit opptak som er komplett overalt utanom der feilen var.
Viss tilkoblinga stoppar midt i opptaket, stans det og sjå etter gjenoppretting. Den eine observasjonen skil ein biverknad av opptaket frå ein ekte tunnelfeil, og han tek mindre tid enn noka form for filterjustering.
Å gjere eit IPsec-opptak lesbart
Eit IPsec-opptak åleine er ikkje lesbart, fordi ESP krypterer nyttelasta. Wireshark kan dekode det når du leverer sesjonsnøklane, eller når det kan følgje IKE-forhandlinga som laga dei, noko som tyder at handtrykket må vere i same fil.
Nøklar går ut. Etter at partane har fornya nøklane, sluttar eit sett gamle nøklar å verke midt i opptaket, og resultatet ser ut som ein dekodarfeil snarare enn ei tidsgrense.
Følg det dokumenterte nøkkelformatet til leverandøren i staden for å importere materiale frå ein urelatert kjelde, og vent at nokre plattformer avviser heile arbeidsflyten. Når gatewayen ikkje vil levere nøklar eller tillate opptaket, må du godta at nyttelasta ikkje kan undersøkjast der du sit. Endepunktloggar og grensesnittteljarar er dei gjenverande prova, og dei er vanlegvis nok for eit rutingspørsmål.
Eit opptak du kan dele trygt
Eit indre opptak er nærare ein lekkasje av påloggingsinformasjon enn ein logg. Det kan innehalde namn, adresser og klartekst frå protokollar skrivne ut frå føresetnaden at ingen nokon gong ville lese dei, noko som gjer sjølve fila til det sensitive artefaktet og ikkje analysen.
Sørg for at verten og nettet er slike du har lov til å ta opptak på, noter både grensesnittet og filteret saman med resultatet, avgrens økta til dei få minutta som svarar på spørsmålet, og fjern fila når du er ferdig. Viss ho må delast, skildre flyten eller fjern nyttelasta først.
Gjenta deretter den opphavlege brukaroppgåva. Eit opptak som provar at ein pakke kom fram, er ikkje prov på at applikasjonen godtok svaret, og skilnaden mellom dei to er vanlegvis der den eigentlege feilen ligg.