Promiskuitetni režim na VPN adapteru ubija vezu

Wireshark savršeno radi na Ethernet interfejsu, a zatim na VPN adapteru tunel prestane propuštati saobraćaj u trenutku kada snimanje počne. Prozor snimanja se nastavlja puniti, pa alat izgleda zdravo dok veza ispod njega umire. Promiskuitetni režim je uobičajen uzrok, jer upravljački program tunela od kojeg se traži svaki okvir na segmentu koji nema može završiti u stanju u kojem ništa ne izlazi.

Prvo isključite tu opciju, a zatim odlučite koji sloj zaista trebate videti.

Dva adaptera, dva različita pogleda

VPN klijent obično predstavlja dva interfejsa: fizički koji nosi šifrovani transport i virtuelni koji nosi dešifrovani unutrašnji saobraćaj. Oni odgovaraju na različita pitanja. Fizičko snimanje pokazuje krajnje tačke, portove i veličine paketa, dok virtuelni prikazuje aplikacijske protokole onako kako ih tunel dostavlja. Odabir jednog bez znanja na koje pitanje odgovarate troši snimanje.

Nijedan pogled nije nadskup onog drugog, a jedno snimanje retko odgovara na oba pitanja odjednom.

Odaberite interfejs prema pitanju, a ne prema redosledu na listi, jer klijent u PPP stilu može svoj adapter predstaviti kao Ethernet uređaj i prikazno ime vam neće reći koji ste sloj odabrali. Snimanje na gatewayu ili zrcalnom portu dodaje treći pogled koji pokazuje putanju nakon prosleđivanja, i tu asimetrično rutiranje i filtriranje postaju vidljivi.

Zašto promiskuitetni režim kvari adapter tunela

Promiskuitetni režim traži od upravljačkog programa da dostavlja okvire koji nisu adresirani na host, što ima smisla na deljenom Ethernet segmentu i vrlo malo smisla na tunelu od tačke do tačke. Neki upravljački programi zahtev prihvataju mirno; drugi prestanu izbacivati iz reda saobraćaj za slanje i interfejs tiho postane crna rupa. Snimanje i dalje beleži ono što stiže, pa datoteka izgleda kao dokaz ispravne veze. Taj jaz između onoga što datoteka pokazuje i onoga što je interfejs uradio jeste cela zamka.

Isključite opciju pre prvog paketa, držite filter snimanja uskim i koristite mali bafer. Veliki prstenasti bafer na zauzetom interfejsu ispušta upravo okvire koji su bili važni, što daje snimanje koje je potpuno svuda osim tamo gde je bila greška.

Ako veza stane usred snimanja, zaustavite je i pratite oporavak. To jedno zapažanje razdvaja nuspojavu snimanja od stvarne greške tunela, i traje kraće od bilo kakvog podešavanja filtera.

Kako snimanje IPsec-a učiniti čitljivim

Snimanje IPsec-a samo po sebi nije čitljivo, jer ESP šifruje sadržaj. Wireshark ga može dekodirati kada mu date sesijske ključeve ili kada može pratiti IKE pregovaranje koje ih je stvorilo, što znači da rukovanje mora biti u istoj datoteci.

Ključevi ističu. Nakon što strane zamene ključeve, skup starih ključeva prestane raditi na pola snimanja, a rezultat izgleda kao greška u dekoderu, a ne kao vremenska granica.

Sledite proizvođačev dokumentovani format ključeva umesto da uvozite materijal iz nepovezanog izvora, i očekujte da će neke platforme u potpunosti odbiti taj postupak. Kada gateway ne želi predati ključeve ili dopustiti snimanje, prihvatite da se sadržaj ne može pregledati s vašeg mesta. Dnevnici krajnjih tačaka i brojači interfejsa preostali su dokazi i obično su dovoljni za pitanje o rutiranju.

Snimanje koje možete sigurno podeliti

Unutrašnje snimanje bliže je izručenju akreditiva nego dnevniku. Može sadržavati imena, adrese i čisti tekst iz protokola pisanih pod pretpostavkom da ih nikada niko neće čitati, što samu datoteku čini osetljivim artefaktom, a ne analizu.

Proverite da su host i mreža oni na kojima smete snimati, zapišite i interfejs i filter uz rezultat, ograničite sesiju na nekoliko minuta koji odgovaraju na pitanje i uklonite datoteku kada završite. Ako se mora podeliti, prvo opišite tok ili uklonite sadržaj.

Zatim ponovite izvorni korisnički zadatak. Snimanje koje dokazuje da je paket stigao nije dokaz da je aplikacija prihvatila odgovor, a razlika između to dvoje obično je mesto gde leži stvarna greška.