Vnútorné a vonkajšie pakety v zachytení VPN: prečo sa veľkosti líšia

Zachytávate pakety s veľkosťou 1400 bajtov na tunelovom rozhraní, zachytíte znova na fyzickom rozhraní a čísla sa odmietajú zhodovať. Adresy sa líšia, veľkosti sa líšia a druhý súbor vyzerá ako iná konverzácia. Nič nie je pokazené. Dva rôzne pakety sedia na dvoch rôznych vrstvách a rozdiel medzi nimi je to, čo tunel robí s vašou prevádzkou. Prečítajte si oba pohľady, kým obviníte MTU.

Dva pohľady a paket, ktorý každý z nich ukazuje

Zachytenie na tunelovom rozhraní ukazuje vnútorný paket: užitočné zaťaženie aplikácie s pôvodným zdrojom a cieľom, skôr než sa použije akákoľvek ochrana. Zachytenie na fyzickom rozhraní ukazuje vonkajší paket: hlavičku IP, transportnú hlavičku, zapuzdrenie a potom zašifrovaný vnútorný paket ako užitočné zaťaženie. Tá istá konverzácia, iné objekty. Keď pomenujete, ktorý z nich je v súbore, nezhoda prestane byť záhadou.

Rozdiel vo veľkosti je réžia, rozdiel v adrese je zámer. Otočte to a zmätok sa stane predvídateľným: ľudia porovnajú vnútorný paket s veľkosťou 1400 bajtov s vonkajším s veľkosťou 1450 bajtov, usúdia, že niečo nie je v poriadku, a začnú meniť nastavenia MTU, ktoré nikdy neboli na vine. Označte súbor rozhraním a vrstvou, pretože ten štítok je prvá vec, ktorú čitateľ potrebuje, a prvá, ktorú ľudia vynechajú.

Určite vrstvu skôr, než začnete zachytávať

Určite, ktorá vrstva odpovie na vašu otázku, skôr než sa zapíše prvý paket. Otázka o MTU zvyčajne potrebuje vonkajší pohľad, pretože práve tam sa hromadia hlavičky a prejavuje sa limit cesty. Otázka o aplikácii zvyčajne potrebuje vnútorný pohľad, pretože práve tam ešte existuje užitočné zaťaženie, ktoré vás zaujíma. Zachytávanie oboch bez plánu prináša dva súbory a žiadny záver.

Použite neškodný povolený test a filtrujte podľa zdroja, cieľa a času, ktoré vás zaujímajú. Prečítajte si možnosti rozhrania a filtra v nástroji na zachytávanie pred zberom, pretože metadáta zvyčajne stačia a je oveľa ľahšie ich zdieľať než užitočné zaťaženie. Vnútorné zachytenie považujte štandardne za citlivé, pretože obsahuje nešifrované údaje aplikácie, ktoré sa chránia až ďalej na ceste.

Čo rozdiel vo veľkosti skutočne obsahuje

Vonkajší paket nesie extra hlavičky a ochranný materiál a koľko presne, to závisí od protokolu a jeho možností. Fragmentácia, agregácia alebo preusporiadanie pozdĺž cesty môžu narušiť zdanlivý vzťah jedna k jednej medzi vnútorným paketom a vonkajšími paketmi, ktoré ho nesú, takže porovnanie veľkosť po veľkosti nie je vždy dostupné. Pri podozrení na poruchu MTU hľadajte spätnú väzbu o veľkosti a bod, kde sa prevádzka zastaví, a potom to porovnajte s tým, čo hlási aplikácia. Vzor opakovaných prenosov bez odpovede je iný signál než chyba ICMP nesúca veľkosť ďalšieho skoku.

Jediný paket, ktorý opustil hostiteľa, nič nedokazuje o tom, či ho druhý koniec prijal. Ak sa vaše zachytenie končí na vašom vlastnom rozhraní, ukázali ste, že jadro niečo odoslalo, a to je najslabší dostupný dôkaz o ceste. Skombinujte zachytenie s opakovateľným príznakom: rovnaký cieľ, rovnaká operácia, rovnaká veľkosť, dva behy s jednou zmenenou premennou.

Ako čítať offload v týchto číslach

Segmentácia na strane hostiteľa a iné druhy offload pridávajú druhé skreslenie a práve ono spôsobuje, že miestne zachytenia nesúhlasia s tým, čo ide po linke. Miestne zachytenie môže ukazovať buffery, ktoré adaptér neskôr rozdelí, takže rámce na linke sú menšie a početnejšie, než súbor naznačuje. Preto veľký buffer v súbore zachytenia nedokazuje, že nadmerne veľký rámec prešiel každým spojom. Ak sú veľkosti dôležité pre váš záver, zaznamenajte, kde bolo zachytenie urobené a či bol na tom rozhraní aktívny offload.

Inak meriate pohodlie hostiteľa namiesto správania cesty. Dva súbory označené rozhraním a stavom offload vyriešia väčšinu takýchto sporov za minútu.

Kde zachytenie prestáva byť dôkazom

Pohľad na zašifrované vonkajšie pakety ukazuje, že za týchto testovacích podmienok existuje hranica ochrany, a nehovorí nič o iných aplikáciách v zariadení, o zaobchádzaní operátora ani o stave samotného koncového bodu. Pohľad na čistý text vo vnútri tunela tiež neznamená, že tunel je pokazený; znamená, že ste zachytávali nad šifrovacím bodom, a to je legitímne miesto na pozorovanie. Zachytenie je dôkaz o mieste, nie rozsudok o systéme, a lístok by to tak mal opísať. Nechajte v správe vetu o rozsahu, pretože práve ona bráni tomu, aby sa jedno pozorovanie stalo tvrdením auditu.

Pomenujte každý súbor jeho rozhraním, filtrom a časovou pečiatkou a po skončení vyšetrovania ho vymažte. Príručka tcpdump dokumentuje tu použité prepínače rozhrania a filtra vrátane tých, ktoré udržia zachytenie malé.

Ak musíte zdieľať dôkazy, zdieľajte veľkosti, časové pečiatky a prepínače namiesto užitočného zaťaženia. Otázka bola o veľkosti paketu a odpoveď zriedka potrebuje niekoho údaje.