Modaliteti promiscuous në një përshtatës VPN vret lidhjen
Një kapje në përshtatësin e tunelit mund të ndalojë përcjelljen e tij. Çaktivizoni modalitetin promiscuous, zgjidhni shtresën që përgjigjet pyetjes dhe trajtoni skedarin si sekret.
Wireshark sillet në mënyrë të përsosur në një ndërfaqe Ethernet dhe pastaj, në një përshtatës VPN, tuneli ndalon së kaluari trafik në momentin kur fillon kapja. Dritarja e kapjes vazhdon të mbushet, kështu që mjeti duket i shëndetshëm ndërsa lidhja poshtë tij vdes. Modaliteti promiscuous është shkaku i zakonshëm, sepse një drejtues tuneli të cilit i kërkohet çdo kornizë në një segment që nuk e ka mund të përfundojë në një gjendje ku asgjë nuk del.
Çaktivizoni së pari atë opsion, pastaj vendosni cilën shtresë keni vërtet nevojë të shihni.
Dy përshtatës, dy pamje të ndryshme
Një klient VPN zakonisht paraqet dy ndërfaqe: atë fizike që mban transportin e kriptuar, dhe një virtuale që mban trafikun e brendshëm të dekriptuar. Ato përgjigjen pyetjeve të ndryshme. Kapja fizike tregon pikat fundore, portat dhe madhësitë e paketave, ndërsa ajo virtuale tregon protokollet e aplikacioneve ashtu siç i dorëzon tuneli. Zgjedhja e njërës pa e ditur se çfarë pyetje po bëni e harxhon kapjen.
Asnjë pamje nuk është mbibashkësi e tjetrës, dhe një kapje rrallë përgjigjet të dyja pyetjeve njëkohësisht.
Zgjidhni ndërfaqen nga pyetja dhe jo nga rendi i listës, sepse një klient në stil PPP mund ta paraqesë përshtatësin e tij si pajisje Ethernet dhe emri i shfaqur nuk do t’ju thotë cilën shtresë zgjodhët. Një kapje në një portë ose në një port pasqyre shton një pamje të tretë, e cila tregon rrugën pas përcjelljes, dhe aty bëhen të dukshme rrugëtimi asimetrik dhe filtrimi.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Pse modaliteti promiscuous prish një përshtatës tuneli
Modaliteti promiscuous i kërkon drejtuesit të dorëzojë korniza që nuk i drejtohen hostit, gjë që ka kuptim në një segment Ethernet të përbashkët dhe shumë pak kuptim në një tunel pikë-për-pikë. Disa drejtues e trajtojnë kërkesën me qetësi; të tjerë ndalojnë nxjerrjen nga radha të trafikut të dërgimit, dhe ndërfaqja bëhet në heshtje një vrimë e zezë. Kapja vazhdon të regjistrojë atë që vjen, kështu që skedari duket si provë e një lidhjeje që funksionon. Pikërisht ai hendek midis asaj që tregon skedari dhe asaj që bëri ndërfaqja është e gjithë kurthi.
Çaktivizoni opsionin përpara paketës së parë, mbani filtrin e kapjes të ngushtë dhe përdorni një bufer të vogël. Një bufer i madh unazor në një ndërfaqe të zënë hedh poshtë pikërisht kornizat që kishin rëndësi, duke prodhuar një kapje të plotë kudo përveç vendit ku ishte defekti.
Nëse lidhja ngec në mes të kapjes, ndalojeni dhe vëzhgoni rikuperimin. Ai vëzhgim i vetëm ndan një efekt anësor të kapjes nga një defekt i vërtetë i tunelit, dhe kërkon më pak kohë se çdo rregullim filtrash.
Bërja e një kapjeje IPsec të lexueshme
Një kapje IPsec e vetme nuk është e lexueshme, sepse ESP kripton ngarkesën. Wireshark mund ta dekodojë atë kur ju jepni çelësat e sesionit, ose kur mund të ndjekë negociatën IKE që i krijoi, që do të thotë se shtrëngimi i duarve duhet të jetë në të njëjtin skedar.
Çelësat skadojnë. Pasi palët rinovojnë çelësat, një grup çelësash të vjetër ndalon së funksionuari në mes të kapjes, dhe rezultati duket si një gabim dekoderi dhe jo si një kufi kohor.
Ndiqni formatin e dokumentuar të çelësave të furnitorit në vend që të importoni material nga një burim i palidhur, dhe prisni që disa platforma të refuzojnë plotësisht këtë rrjedhë pune. Kur porta nuk i dorëzon çelësat dhe nuk lejon kapjen, pranoni se ngarkesa nuk mund të inspektohet nga vendi ku jeni. Regjistrat e pikave fundore dhe numëruesit e ndërfaqes janë provat e mbetura, dhe zakonisht mjaftojnë për një pyetje rrugëtimi.
Një kapje që mund ta ndani në mënyrë të sigurt
Një kapje e brendshme është më afër një rrjedhjeje kredencialesh sesa një regjistri. Mund të përmbajë emra, adresa dhe tekst të thjeshtë nga protokolle të shkruara me supozimin se askush nuk do t’i lexonte kurrë, gjë që e bën vetë skedarin artefaktin e ndjeshëm dhe jo analizën.
Sigurohuni që hosti dhe rrjeti janë të tillë ku ju lejohet të bëni kapje, shënoni si ndërfaqen ashtu edhe filtrin së bashku me rezultatin, kufizoni sesionin në disa minuta që përgjigjen pyetjes, dhe hiqni skedarin kur të mbaroni. Nëse duhet ndarë, përshkruani rrjedhën ose hiqni ngarkesën së pari.
Pastaj përsëritni detyrën origjinale të përdoruesit. Një kapje që provon se një paketë mbërriti nuk është provë se aplikacioni e pranoi përgjigjen, dhe ndryshimi midis të dyjave është zakonisht aty ku ndodhet defekti i vërtetë.