Promiskuøs modus på en VPN-adapter dreper tilkoblingen
Et opptak på en tunneladapter kan stanse videresendingen. Slå av promiskuøs modus, velg laget som svarer på spørsmålet, og behandle filen som en hemmelighet.
Wireshark oppfører seg perfekt på et Ethernet-grensesnitt, og så, på en VPN-adapter, slutter tunnelen å føre trafikk i det øyeblikket opptaket starter. Opptaksvinduet fortsetter å fylles, så verktøyet ser friskt ut mens tilkoblingen under det dør. Promiskuøs modus er den vanlige årsaken, fordi en tunneldriver som blir bedt om hver ramme på et segment den ikke har, kan ende i en tilstand der ingenting slipper ut.
Slå av det valget først, og avgjør deretter hvilket lag du faktisk trenger å se.
To adaptere, to forskjellige visninger
En VPN-klient presenterer vanligvis to grensesnitt: det fysiske som bærer den krypterte transporten, og et virtuelt som bærer den dekrypterte indre trafikken. De svarer på forskjellige spørsmål. Det fysiske opptaket viser endepunkter, porter og pakkestørrelser, mens det virtuelle viser applikasjonsprotokollene slik tunnelen leverer dem. Å velge ett uten å vite hvilket spørsmål du stiller, sløser bort opptaket.
Ingen av visningene er en overmengde av den andre, og ett opptak svarer sjelden på begge spørsmålene samtidig.
Velg grensesnittet ut fra spørsmålet og ikke ut fra rekkefølgen i listen, fordi en klient i PPP-stil kan presentere adapteren sin som en Ethernet-enhet, og visningsnavnet vil ikke fortelle deg hvilket lag du valgte. Et opptak på en gateway eller en speilport legger til en tredje visning, som viser veien etter videresendingen, og det er der asymmetrisk ruting og filtrering blir synlig.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Hvorfor promiskuøs modus ødelegger en tunneladapter
Promiskuøs modus ber driveren levere rammer som ikke er adressert til verten, noe som gir mening på et delt Ethernet-segment og svært lite mening på en punkt-til-punkt-tunnel. Noen drivere håndterer forespørselen rolig; andre slutter å ta sendetrafikk ut av køen, og grensesnittet blir stille et svart hull. Opptaket registrerer fortsatt det som kommer inn, så filen ser ut som bevis på en fungerende forbindelse. Det gapet mellom det filen viser og det grensesnittet gjorde, er hele fellen.
Slå av valget før den første pakken, hold opptaksfilteret smalt og bruk en liten buffer. En stor ringbuffer på et travelt grensesnitt mister nettopp rammene som betydde noe, og gir et opptak som er komplett overalt unntatt der feilen var.
Hvis forbindelsen stopper midt i opptaket, stans det og se etter gjenoppretting. Den ene observasjonen skiller en bivirkning av opptaket fra en ekte tunnelfeil, og den tar mindre tid enn noen form for filterjustering.
Å gjøre et IPsec-opptak lesbart
Et IPsec-opptak alene er ikke lesbart, fordi ESP krypterer nyttelasten. Wireshark kan dekode det når du leverer sesjonsnøklene, eller når det kan følge IKE-forhandlingen som laget dem, noe som betyr at håndtrykket må være i samme fil.
Nøkler utløper. Etter at partene har fornyet nøklene, slutter et sett gamle nøkler å virke midt i opptaket, og resultatet ser ut som en dekoderfeil snarere enn en tidsgrense.
Følg leverandørens dokumenterte nøkkelformat i stedet for å importere materiale fra en urelatert kilde, og forvent at noen plattformer avviser arbeidsflyten helt. Når gatewayen ikke vil utlevere nøkler eller tillate opptaket, må du godta at nyttelasten ikke kan undersøkes der du sitter. Endepunktlogger og grensesnitttellere er de gjenværende bevisene, og de er vanligvis nok for et rutingspørsmål.
Et opptak du kan dele trygt
Et indre opptak er nærmere en lekkasje av påloggingsinformasjon enn en logg. Det kan inneholde navn, adresser og klartekst fra protokoller skrevet ut fra antakelsen at ingen noen gang ville lese dem, noe som gjør selve filen til det sensitive artefaktet og ikke analysen.
Sørg for at verten og nettverket er slike du har lov til å ta opptak på, noter både grensesnittet og filteret sammen med resultatet, begrens økten til de få minuttene som svarer på spørsmålet, og fjern filen når du er ferdig. Hvis den må deles, beskriv flyten eller fjern nyttelasten først.
Gjenta deretter den opprinnelige brukeroppgaven. Et opptak som beviser at en pakke kom frem, er ikke bevis for at applikasjonen godtok svaret, og forskjellen mellom de to er vanligvis der den egentlige feilen ligger.