Promiskuitetni način na adapterju VPN ubije povezavo

Wireshark se na vmesniku Ethernet obnaša brezhibno, nato pa se na adapterju VPN tunel v trenutku, ko se zajem začne, preneha pretakati promet. Okno zajema se še naprej polni, zato je orodje videti zdravo, medtem ko povezava pod njim umira. Promiskuitetni način je običajen vzrok, saj lahko gonilnik tunela, od katerega se zahteva vsak okvir na segmentu, ki ga nima, konča v stanju, iz katerega nič ne pride.

Najprej izklopite to možnost, nato se odločite, katero plast res morate videti.

Dva adapterja, dva različna pogleda

Odjemalec VPN običajno predstavi dva vmesnika: fizičnega, ki prenaša šifriran promet, in navideznega, ki prenaša dešifriran notranji promet. Odgovarjata na različna vprašanja. Fizični zajem prikaže končne točke, vrata in velikosti paketov, navidezni pa prikaže protokole aplikacij tako, kot jih dostavi tunel. Izbira enega brez vedenja, na katero vprašanje odgovarjate, zapravi zajem.

Noben pogled ni nadmnožica drugega in en zajem redko odgovori na obe vprašanji hkrati.

Vmesnik izberite glede na vprašanje in ne glede na vrstni red na seznamu, ker lahko odjemalec v slogu PPP svoj adapter predstavi kot napravo Ethernet in prikazano ime vam ne bo povedalo, katero plast ste izbrali. Zajem na prehodu ali na zrcalnih vratih doda tretji pogled, ki prikaže pot po posredovanju, in tam postaneta vidna asimetrično usmerjanje in filtriranje.

Zakaj promiskuitetni način zlomi adapter tunela

Promiskuitetni način od gonilnika zahteva, da dostavi okvire, ki niso naslovljeni na gostitelja, kar je smiselno na skupnem segmentu Ethernet in zelo malo smiselno na tunelu od točke do točke. Nekateri gonilniki zahtevo sprejmejo mirno; drugi prenehajo jemati iz čakalne vrste promet za pošiljanje in vmesnik tiho postane črna luknja. Zajem še vedno beleži, kaj pride, zato je datoteka videti kot dokaz delujoče povezave. Prav ta vrzel med tem, kar prikaže datoteka, in tem, kar je storil vmesnik, je vsa past.

Izklopite možnost pred prvim paketom, držite filter zajema ozek in uporabite majhen medpomnilnik. Velik obročasti medpomnilnik na zasedenem vmesniku spusti prav tiste okvire, ki so bili pomembni, zato je zajem popoln povsod razen tam, kjer je bila napaka.

Če se povezava sredi zajema ustavi, jo ustavite in opazujte obnovitev. To eno opažanje loči stranski učinek zajema od resnične napake tunela in traja manj časa kot kakršno koli uglaševanje filtrov.

Kako narediti zajem IPsec berljiv

Zajem IPsec sam po sebi ni berljiv, ker ESP šifrira vsebino. Wireshark ga lahko dekodira, ko mu priskrbite ključe seje, ali ko lahko sledi pogajanjem IKE, ki so jih ustvarila, kar pomeni, da mora biti rokovanje v isti datoteki.

Ključi potečejo. Potem ko strani obnovita ključe, nabor starih ključev preneha delovati na sredi zajema in rezultat je videti kot napaka dekoderja in ne kot časovna meja.

Sledite proizvajalčevemu dokumentiranemu formatu ključev, namesto da uvažate gradivo iz nepovezanega vira, in pričakujte, da bodo nekatere platforme ta potek dela povsem zavrnile. Ko prehod ne izda ključev ali ne dovoli zajema, sprejmite, da vsebine ni mogoče pregledati z vašega mesta. Dnevniki končnih točk in števci vmesnika so preostali dokazi in običajno zadostujejo za vprašanje usmerjanja.

Zajem, ki ga lahko varno delite

Notranji zajem je bližje izpisu poverilnic kot dnevniku. Lahko vsebuje imena, naslove in čisto besedilo iz protokolov, napisanih ob predpostavki, da jih nihče ne bo nikoli bral, zato je občutljiv predmet sama datoteka in ne analiza.

Prepričajte se, da sta gostitelj in omrežje taka, na katerih smete zajemati, zabeležite vmesnik in filter skupaj z rezultatom, omejite sejo na nekaj minut, ki odgovorijo na vprašanje, in po končanem delu datoteko odstranite. Če jo je treba deliti, najprej opišite tok ali odstranite vsebino.

Nato ponovite prvotno uporabniško nalogo. Zajem, ki dokazuje, da je paket prispel, ni dokaz, da je aplikacija odgovor sprejela, in razlika med tema dvema je običajno tam, kjer je resnična napaka.