O modo promíscuo num adaptador VPN mata a conexão
Uma captura num adaptador de túnel pode interromper o seu encaminhamento. Desative o modo promíscuo, escolha a camada que responde à pergunta e trate o ficheiro como um segredo.
O Wireshark comporta-se perfeitamente numa interface Ethernet e depois, num adaptador VPN, o túnel deixa de passar tráfego no momento em que a captura começa. A janela de captura continua a encher-se, por isso a ferramenta parece saudável enquanto a ligação por baixo morre. O modo promíscuo é a causa habitual, porque um controlador de túnel a quem se pede cada trama de um segmento que não tem pode acabar num estado em que nada sai.
Desative essa opção primeiro e depois decida que camada precisa realmente de ver.
Dois adaptadores, duas vistas diferentes
Um cliente VPN apresenta normalmente duas interfaces: a física, que transporta o tráfego cifrado, e uma virtual, que transporta o tráfego interno decifrado. Respondem a perguntas diferentes. A captura física mostra extremos, portas e tamanhos dos pacotes, enquanto a virtual mostra os protocolos de aplicação tal como o túnel os entrega. Escolher uma sem saber que pergunta se está a fazer desperdiça a captura.
Nenhuma vista é um superconjunto da outra, e uma captura raramente responde às duas perguntas ao mesmo tempo.
Escolha a interface a partir da pergunta e não da ordem da lista, porque um cliente ao estilo PPP pode apresentar o seu adaptador como um dispositivo Ethernet e o nome apresentado não lhe dirá que camada selecionou. Uma captura numa gateway ou numa porta espelho acrescenta uma terceira vista, que mostra o caminho após o encaminhamento, e é aí que o encaminhamento assimétrico e a filtragem se tornam visíveis.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Porque é que o modo promíscuo quebra um adaptador de túnel
O modo promíscuo pede ao controlador que entregue tramas que não são endereçadas ao anfitrião, o que faz sentido num segmento Ethernet partilhado e muito pouco sentido num túnel ponto a ponto. Alguns controladores tratam o pedido com calma; outros deixam de retirar da fila o tráfego de transmissão, e a interface torna-se silenciosamente num buraco negro. A captura continua a registar o que chega, por isso o ficheiro parece a prova de uma ligação a funcionar. É precisamente essa lacuna entre o que o ficheiro mostra e o que a interface fez que constitui toda a armadilha.
Desative a opção antes do primeiro pacote, mantenha o filtro de captura estreito e use um buffer pequeno. Um buffer circular grande numa interface ocupada descarta justamente as tramas que importavam, o que produz uma captura completa em todo o lado exceto onde estava a falha.
Se a ligação parar a meio da captura, pare-a e observe a recuperação. Essa única observação separa um efeito secundário da captura de uma falha real do túnel, e leva menos tempo do que qualquer ajuste de filtros.
Tornar uma captura de IPsec legível
Uma captura de IPsec por si só não é legível, porque o ESP cifra a carga útil. O Wireshark pode descodificá-la quando fornece as chaves de sessão, ou quando consegue seguir a negociação IKE que as produziu, o que significa que o aperto de mão tem de estar no mesmo ficheiro.
As chaves expiram. Depois de os pares renovarem as chaves, um conjunto de chaves antigas deixa de funcionar a meio da captura, e o resultado parece um erro do descodificador em vez de um limite temporal.
Siga o formato de chaves documentado pelo fornecedor em vez de importar material de uma fonte não relacionada, e conte com algumas plataformas a recusar completamente este fluxo de trabalho. Quando a gateway não entrega as chaves nem permite a captura, aceite que a carga útil não é inspecionável a partir de onde está. Os registos dos extremos e os contadores da interface são as provas restantes, e costumam ser suficientes para uma pergunta de encaminhamento.
Uma captura que pode partilhar em segurança
Uma captura interna está mais próxima de um despejo de credenciais do que de um registo. Pode conter nomes, endereços e texto simples de protocolos escritos com o pressuposto de que ninguém os leria, o que faz do próprio ficheiro o artefacto sensível e não a análise.
Certifique-se de que o anfitrião e a rede são uns em que pode capturar, anote tanto a interface como o filtro junto com o resultado, limite a sessão aos poucos minutos que respondem à pergunta e remova o ficheiro quando terminar. Se tiver de ser partilhado, descreva o fluxo ou retire primeiro a carga útil.
Depois repita a tarefa original do utilizador. Uma captura que prova que um pacote chegou não é prova de que a aplicação aceitou a resposta, e a diferença entre as duas é normalmente onde vive a falha real.