Modul promiscuu pe un adaptor VPN ucide conexiunea
O captură pe un adaptor de tunel poate opri redirecționarea acestuia. Dezactivați modul promiscuu, alegeți stratul care răspunde la întrebare și tratați fișierul ca pe un secret.
Wireshark se comportă impecabil pe o interfață Ethernet și apoi, pe un adaptor VPN, tunelul încetează să mai transmită trafic în momentul în care începe captura. Fereastra de captură continuă să se umple, așa că instrumentul pare sănătos în timp ce conexiunea de sub el moare. Modul promiscuu este cauza obișnuită, pentru că un driver de tunel căruia i se cere fiecare cadru de pe un segment pe care nu îl are poate ajunge într-o stare în care nimic nu iese.
Dezactivați mai întâi acea opțiune, apoi decideți de care strat aveți într-adevăr nevoie să vedeți.
Două adaptoare, două vederi diferite
Un client VPN prezintă de obicei două interfețe: cea fizică ce transportă traficul criptat, și una virtuală ce transportă traficul intern decriptat. Ele răspund la întrebări diferite. Captura fizică arată punctele terminale, porturile și dimensiunile pachetelor, în timp ce cea virtuală arată protocoalele aplicațiilor așa cum le livrează tunelul. Alegerea uneia fără a ști la ce întrebare răspundeți irosește captura.
Nicio vedere nu este o supramulțime a celeilalte, iar o captură răspunde rar la ambele întrebări simultan.
Alegeți interfața după întrebare și nu după ordinea din listă, pentru că un client în stil PPP poate prezenta adaptorul său ca dispozitiv Ethernet, iar numele afișat nu vă va spune ce strat ați selectat. O captură pe un gateway sau pe un port oglindă adaugă o a treia vedere, care arată calea după redirecționare, și acolo devin vizibile rutarea asimetrică și filtrarea.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
De ce modul promiscuu strică un adaptor de tunel
Modul promiscuu cere driverului să livreze cadre care nu sunt adresate gazdei, ceea ce are sens pe un segment Ethernet partajat și foarte puțin sens pe un tunel punct-la-punct. Unii driveri tratează cererea cu calm; alții încetează să mai scoată din coadă traficul de trimitere, iar interfața devine în tăcere o gaură neagră. Captura înregistrează în continuare ce sosește, așa că fișierul pare dovada unei legături funcționale. Exact acel decalaj dintre ce arată fișierul și ce a făcut interfața este întreaga capcană.
Dezactivați opțiunea înainte de primul pachet, păstrați filtrul de captură îngust și folosiți un buffer mic. Un buffer circular mare pe o interfață aglomerată aruncă exact cadrele care contau, ceea ce produce o captură completă peste tot, în afară de locul unde era defectul.
Dacă legătura se blochează la mijlocul capturii, opriți-o și urmăriți recuperarea. Acea singură observație separă un efect secundar al capturii de o defecțiune reală a tunelului, și durează mai puțin decât orice reglaj de filtre.
Facerea unei capturi IPsec lizibile
O captură IPsec singură nu este lizibilă, pentru că ESP criptează conținutul. Wireshark o poate decodifica atunci când furnizați cheile sesiunii, sau când poate urmări negocierea IKE care le-a produs, ceea ce înseamnă că strângerea de mână trebuie să fie în același fișier.
Cheile expiră. După ce părțile reînnoiesc cheile, un set de chei vechi încetează să funcționeze la mijlocul capturii, iar rezultatul arată ca o eroare a decodorului și nu ca o limită de timp.
Urmați formatul de chei documentat de furnizor în loc să importați material dintr-o sursă nelegată, și așteptați-vă ca unele platforme să refuze complet acest flux de lucru. Când gateway-ul nu predă cheile și nu permite captura, acceptați că încărcătura nu poate fi inspectată din locul în care vă aflați. Jurnalele punctelor terminale și contoarele interfeței sunt dovezile rămase, și de obicei sunt suficiente pentru o întrebare de rutare.
O captură pe care o puteți partaja în siguranță
O captură internă seamănă mai mult cu o scurgere de acreditări decât cu un jurnal. Poate conține nume, adrese și text simplu din protocoale scrise cu presupunerea că nimeni nu le va citi niciodată, ceea ce face din fișierul însuși artefactul sensibil și nu analiza.
Asigurați-vă că gazda și rețeaua sunt unele pe care aveți voie să capturați, notați atât interfața cât și filtrul împreună cu rezultatul, limitați sesiunea la câteva minute care răspund la întrebare și eliminați fișierul după ce terminați. Dacă trebuie partajat, descrieți fluxul sau înlăturați mai întâi încărcătura.
Apoi repetați sarcina inițială a utilizatorului. O captură care dovedește că un pachet a sosit nu este dovada că aplicația a acceptat răspunsul, iar diferența dintre cele două este de obicei locul unde se află defectul real.