Izguba Pinga v VPN: združite zahteve Echo pred odstotkom

En posnetek vsebuje šest zahtev Echo in tri odgovore, in nekdo v tiket napiše 50 odstotkov izgube paketov. Ta številka lahko velja za posnetek in ne velja za tunel. Šest zahtev lahko pripada dvema različnima pogovoroma z dvema različnima dobavnima pogodbama. Združite jih, preden delite, in razmerje neha biti zanimivi del poročila.

Korak 1: ločite tokove po viru in cilju

Zahteva Echo nosi vir in cilj, in ti dve polji določata, h kateremu pogovoru spada. Sonda, ki jo ustvari prehod, uporablja naslov tunela prehoda, medtem ko sonda, posredovana v imenu gostitelja LAN, ohrani naslov tega gostitelja. Nasprotna stran ima lahko povratno pot za eno in ne za drugo, zaradi česar se skupini obnašata različno iz razlogov, ki nimajo nič skupnega s tunelom.

Posnetek razdelite po teh poljih, preden karkoli preštejete, in cilj ohranite kot del ključa. Dva toka k različnima partnerjema nista primerljiva, tudi ko si delita vir.

Zapišite skupine z njihovimi števili, ker naslednji korak odloči, kateri odgovori spadajo h kateri skupini. Skupina s tremi zahtevami in brez ustreznega odgovora je ugotovitev. Skupina s tremi zahtevami in tremi odgovori je osnovna črta.

Korak 2: ujemajte po identifikatorju in zaporedju

Oblika Echo v RFC 792 nosi identifikator in zaporedno številko, in ju obravnava kot polji, ki povežeta odgovor z njegovo zahtevo. Za to delo sta potrebni obe. Samo zaporedno število ni edinstveno, ker lahko različni pošiljatelji ali procesi znova uporabijo isto vrednost v enem oknu zajema. Identifikator zoži pošiljatelja in zaporedje položaj, in prav par skupaj naredi ujemanje branljivo.

Odgovor obrne smer naslovov svoje zahteve, zato je ujemanje par zahteva-odgovor in ne dva enaka torka. Primerjajte vir zahteve s ciljem odgovora in cilj zahteve z virom odgovora, nato potrdite, da se identifikator in zaporedje ujemata.

Ohranite tudi opazovalno okno, ker lahko dolg posnetek vsebuje zakonito ponovno uporabo obeh polj. Obrezovanje okna na en izbruh odstrani večino te dvoumnosti. Prav tako naredi štetja ponovljiva za vsakogar, ki tiket bere.

tshark -r capture.pcap -Y 'icmp.type == 8' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq
tshark -r capture.pcap -Y 'icmp.type == 0' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq

Korak 3: primerjajte torke na isti meji

Če je prevajanje naslovov omrežja med točko zajema in partnerjem, se naslovi v zahtevi in odgovoru razlikujejo po zasnovi. Primerjajte torke na eni meji, ali prenašajte preslikavo izrecno, da bo razlika upoštevana. Mešanje zahtev pred prevajanjem z odgovori po prevajanju ustvari neskladja, ki jih na žici nikoli ni bilo.

Odločite se o meji, preden začnete šteti, in jo navedite v poročilu, da bo naslednja oseba lahko ponovila združevanje. En posnetek na strani odjemalca in drugi na strani strežnika sta dve različni meji. Vsak odgovori na drugačno vprašanje o tem, kje je odgovor izginil.

Skupina prevedenih sond podeduje tudi lastno stanje prevajalne naprave, kar je lahko resnični razlog, da odgovor nikoli ne prispe. Preverite to stanje, preden krivite pot za njo.

tcpdump -ni any icmp and host 10.90.0.1 -c 20
tshark -r capture.pcap -Y 'icmp' -T fields -e ip.src -e ip.dst -e ip.ttl | head -20

Korak 4: povejte, kaj posnetek lahko in česa ne more dokazati

Opazovana vrzel ne dokazuje, da je oddaljeni gostitelj molčal. Točka zajema lahko vidi le eno smer, filter lahko odgovor zavrže ali pa je med oknom buffer prekipel. Vsak od teh da enako odsotnost in drugačen sklep.

Zapišite mesto zajema, izraz filtra in števce zavrženih poleg štetij, ker razmerja brez njih ni mogoče revidirati. Prav te tri vrstice naredijo število pozneje branljivo.

Nato ločite, kaj opazovanje ugotavlja, od tega, kar nakazuje, v dveh stavkih namesto enem. Prvi stavek navaja štetja in mejo. Drugi navaja hipotezo in kaj bi jo potrdilo.

Ko je vprašanje, ali določena pot zavrže pakete, je nadzorovana sonda z izrecnim naslovom vira močnejši dokaz kot pasivno štetje mešanega prometa. Pošljite jo z istega stroja, ob istem času, istemu partnerju. Spremenite eno spremenljivko in primerjava ostane.

Poročajte o skupinah in naslednji meji

Poročilo ima tri vrstice: opredelitev skupine, ujemajoča se štetja znotraj vsake skupine in meja, na kateri je bila primerjava opravljena. Bralec lahko nato vidi, da je ena skupina odgovorila v celoti in druga ne, kar kaže na pot ali dovoljenje, ne na naključno izgubo.

Priložite datoteko zajema in izraze filtrov, da bo združevanje mogoče ponoviti. Povzetek brez datoteke je trditev, ne rezultat.

ping -c 5 -I 10.80.0.6 10.90.0.1
ping -c 5 -I 10.30.0.25 10.90.0.1
tshark -r capture.pcap -Y 'icmp.type == 8 || icmp.type == 0' -T fields -e ip.src -e ip.dst -e icmp.ident -e icmp.seq | sort | uniq -c | head

Ko ena skupina pokaže pet odgovorov in druga nobenega, je ugotovitev, da ima en vir delujočo povratno pot, drugi pa ne. To je veliko boljši tiket od mešanega odstotka, in naslednje preverjanje usmeri na povratno pot namesto na nepovezano instanco VPN.