Неразборчивый режим на адаптере VPN обрывает соединение
Захват на адаптере туннеля может остановить его пересылку. Отключите неразборчивый режим, выберите уровень, который отвечает на вопрос, и обращайтесь с файлом как с секретом.
Wireshark безупречно работает на интерфейсе Ethernet, а затем на адаптере VPN туннель перестаёт пропускать трафик в тот момент, когда начинается захват. Окно захвата продолжает заполняться, поэтому инструмент выглядит здоровым, пока соединение под ним умирает. Неразборчивый режим — обычная причина, потому что драйвер туннеля, у которого запрашивают каждый кадр на сегменте, которого у него нет, может оказаться в состоянии, когда ничего не выходит.
Сначала отключите эту опцию, а затем решите, какой уровень вам действительно нужно увидеть.
Два адаптера, два разных взгляда
Клиент VPN обычно предоставляет два интерфейса: физический, который несёт зашифрованный транспорт, и виртуальный, который несёт расшифрованный внутренний трафик. Они отвечают на разные вопросы. Физический захват показывает конечные точки, порты и размеры пакетов, а виртуальный показывает протоколы приложений так, как их доставляет туннель. Выбор одного без понимания того, на какой вопрос вы отвечаете, тратит захват впустую.
Ни один взгляд не является надмножеством другого, и один захват редко отвечает на оба вопроса сразу.
Выбирайте интерфейс по вопросу, а не по порядку в списке, потому что клиент в стиле PPP может представить свой адаптер как устройство Ethernet, и отображаемое имя не скажет, какой уровень вы выбрали. Захват на шлюзе или на зеркальном порту добавляет третий взгляд, показывающий путь после пересылки, и именно там становятся видны асимметричная маршрутизация и фильтрация.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Почему неразборчивый режим ломает адаптер туннеля
Неразборчивый режим просит драйвер доставлять кадры, не адресованные хосту, что имеет смысл в общем сегменте Ethernet и очень мало смысла в туннеле точка-точка. Некоторые драйверы обрабатывают запрос спокойно; другие перестают извлекать из очереди трафик отправки, и интерфейс тихо становится чёрной дырой. Захват всё равно записывает то, что приходит, поэтому файл выглядит доказательством работающего канала. Именно этот разрыв между тем, что показывает файл, и тем, что сделал интерфейс, и есть вся ловушка.
Отключите опцию до первого пакета, держите фильтр захвата узким и используйте маленький буфер. Большой кольцевой буфер на загруженном интерфейсе теряет именно те кадры, которые имели значение, и в результате захват полон везде, кроме места, где была неисправность.
Если канал зависает посреди захвата, остановите его и понаблюдайте за восстановлением. Одно это наблюдение отделяет побочный эффект захвата от настоящей неисправности туннеля, и оно занимает меньше времени, чем любая настройка фильтров.
Как сделать захват IPsec читаемым
Захват IPsec сам по себе не читается, потому что ESP шифрует полезную нагрузку. Wireshark может его декодировать, когда вы передаёте ключи сеанса, или когда он может проследить переговоры IKE, которые их создали, а это значит, что рукопожатие должно быть в том же файле.
Ключи истекают. После того как стороны обновят ключи, набор старых ключей перестаёт работать на середине захвата, и результат выглядит как ошибка декодера, а не как временная граница.
Следуйте документированному формату ключей поставщика, а не импортируйте материал из несвязанного источника, и ожидайте, что некоторые платформы полностью откажутся от этого рабочего процесса. Когда шлюз не выдаёт ключи и не разрешает захват, примите, что полезную нагрузку нельзя проверить с вашего места. Журналы конечных точек и счётчики интерфейса — оставшиеся доказательства, и для вопроса о маршрутизации их обычно достаточно.
Захват, которым можно безопасно поделиться
Внутренний захват ближе к утечке учётных данных, чем к журналу. Он может содержать имена, адреса и открытый текст из протоколов, написанных в предположении, что их никто и никогда не прочитает, и это делает чувствительным артефактом сам файл, а не анализ.
Убедитесь, что хост и сеть — те, на которых вам разрешено вести захват, запишите и интерфейс, и фильтр вместе с результатом, ограничьте сеанс несколькими минутами, которые отвечают на вопрос, и удалите файл по завершении. Если его нужно передать, сначала опишите поток или удалите полезную нагрузку.
Затем повторите исходную задачу пользователя. Захват, доказывающий, что пакет пришёл, не является доказательством того, что приложение приняло ответ, и разница между этими двумя вещами обычно там, где и находится настоящая неисправность.