Promiskuitný režim na adaptéri VPN zabíja pripojenie
Zachytávanie na adaptéri tunela môže zastaviť jeho preposielanie. Vypnite promiskuitný režim, vyberte vrstvu, ktorá odpovedá na otázku, a zaobchádzajte so súborom ako s tajomstvom.
Wireshark funguje na ethernetovom rozhraní bezchybne a potom na adaptéri VPN tunel v momente, keď sa začne zachytávanie, prestane prepúšťať prevádzku. Okno zachytávania sa ďalej plní, takže nástroj vyzerá zdravo, kým spojenie pod ním umiera. Promiskuitný režim je obvyklá príčina, pretože ovládač tunela, od ktorého sa žiada každý rámec na segmente, ktorý nemá, môže skončiť v stave, keď nič nevychádza.
Najprv túto voľbu vypnite a potom sa rozhodnite, ktorú vrstvu vlastne potrebujete vidieť.
Dva adaptéry, dva rôzne pohľady
Klient VPN zvyčajne predstavuje dve rozhrania: fyzické, ktoré nesie šifrovaný transport, a virtuálne, ktoré nesie dešifrovanú vnútornú prevádzku. Odpovedajú na rôzne otázky. Fyzické zachytávanie ukazuje koncové body, porty a veľkosti paketov, zatiaľ čo virtuálne ukazuje aplikačné protokoly tak, ako ich tunel doručuje. Vybrať si jedno bez toho, aby ste vedeli, na akú otázku odpovedáte, zachytávanie premrhá.
Ani jeden pohľad nie je nadmnožinou toho druhého a jedno zachytávanie málokedy odpovie na obe otázky naraz.
Rozhranie vyberajte podľa otázky, nie podľa poradia v zozname, pretože klient v štýle PPP môže svoj adaptér predstaviť ako zariadenie Ethernet a zobrazovaný názov vám nepovie, ktorú vrstvu ste vybrali. Zachytávanie na bráne alebo na zrkadlovom porte pridáva tretí pohľad, ktorý ukazuje cestu po preposlaní, a práve tam sa stáva viditeľným asymetrické smerovanie a filtrovanie.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Prečo promiskuitný režim rozbíja adaptér tunela
Promiskuitný režim žiada ovládač, aby doručoval rámce, ktoré nie sú adresované hostiteľovi, čo má zmysel na zdieľanom ethernetovom segmente a veľmi málo zmyslu na tuneli bod-bod. Niektoré ovládače žiadosť zvládnu pokojne; iné prestanú vyberať z frontu odosielanú prevádzku a rozhranie sa ticho stane čiernou dierou. Zachytávanie napriek tomu zaznamenáva, čo prichádza, takže súbor vyzerá ako dôkaz funkčného spoja. Práve táto priepasť medzi tým, čo súbor ukazuje, a tým, čo rozhranie urobilo, je celá pasca.
Vypnite voľbu ešte pred prvým paketom, držte zachytávací filter úzky a použite malý buffer. Veľký kruhový buffer na vyťaženom rozhraní zahadzuje práve tie rámce, na ktorých záležalo, takže zachytávanie je úplné všade okrem miesta, kde bola závada.
Ak sa spojenie uprostred zachytávania zasekne, zastavte ho a sledujte, či sa obnoví. Toto jediné pozorovanie oddeľuje vedľajší účinok zachytávania od skutočnej závady tunela a zaberie menej času než akékoľvek ladenie filtrov.
Ako urobiť zachytávanie IPsec čitateľným
Zachytávanie IPsec samo o sebe nie je čitateľné, pretože ESP šifruje obsah. Wireshark ho dokáže dekódovať, keď mu dodáte kľúče relácie, alebo keď dokáže sledovať vyjednávanie IKE, ktoré ich vytvorilo, čo znamená, že handshake musí byť v tom istom súbore.
Kľúče vypršia. Po tom, čo strany obnovia kľúče, prestane sada starých kľúčov uprostred zachytávania fungovať a výsledok vyzerá ako chyba dekodéra, nie ako časová hranica.
Držte sa výrobcom dokumentovaného formátu kľúčov a neimportujte materiál z nesúvisiaceho zdroja, a počítajte s tým, že niektoré platformy tento postup úplne odmietnu. Keď brána kľúče nevydá alebo zachytávanie nepovolí, prijmite, že obsah sa z vášho miesta nedá prezrieť. Zvyšným dôkazom sú protokoly koncových bodov a počítadlá rozhrania a na otázku smerovania zvyčajne stačia.
Zachytávanie, ktoré môžete bezpečne zdieľať
Vnútorné zachytávanie má bližšie k výpisu prihlasovacích údajov než k logu. Môže obsahovať mená, adresy a otvorený text z protokolov písaných s predpokladom, že ich nikto nikdy nebude čítať, čo robí citlivým artefaktom samotný súbor, nie analýzu.
Uistite sa, že hostiteľ a sieť sú také, na ktorých smiete zachytávať, poznamenajte k výsledku rozhranie aj filter, obmedzte reláciu na niekoľko minút, ktoré odpovedajú na otázku, a po dokončení súbor odstráňte. Ak ho musíte zdieľať, najprv opíšte tok alebo odstráňte obsah.
Potom zopakujte pôvodnú používateľskú úlohu. Zachytávanie, ktoré dokazuje, že paket dorazil, nie je dôkazom, že aplikácia odpoveď prijala, a rozdiel medzi tým dvojím je zvyčajne miesto, kde žije skutočná závada.