Унутрашњи и спољашњи пакети у VPN снимку: зашто се величине разликују

Снимате пакете од 1400 бајтова на интерфејсу тунела, па поново снимате на физичком интерфејсу, и бројеви одбијају да се поклопе. Адресе се разликују, величине се разликују, а друга датотека изгледа као други разговор. Ништа није покварено. Два различита пакета стоје на два различита слоја, а јаз између њих је оно што тунел ради са вашим саобраћајем. Прочитајте оба приказа пре него што окривите MTU.

Две тачке гледишта и пакет који свака показује

Снимак направљен на интерфејсу тунела показује унутрашњи пакет: корисни терет апликације који носи свој изворни извор и одредиште, пре него што се примени било каква заштита. Снимак на физичком интерфејсу показује спољашњи пакет: IP заглавље, транспортно заглавље, инкапсулацију, а затим шифровани унутрашњи пакет као корисни терет. Исти разговор, различити објекти. Када именујете који од њих датотека садржи, неслагање престаје да буде мистерија.

Разлика у величини је додатни трошак, а разлика у адресама је пројектна одлука. Окрените то и забуна постаје предвидљива: људи упоређују унутрашњи пакет од 1400 бајтова са спољашњим пакетом од 1450 бајтова, закључе да нешто није у реду и почну да мењају MTU подешавања која никада нису била крива. Означите датотеку интерфејсом и слојем, јер је та ознака прва ствар која читаоцу треба и прва ствар коју људи изоставе.

Одредите слој пре него што почнете снимање

Одредите који слој одговара на ваше питање пре него што се први пакет запише. Питање о MTU-у обично захтева спољашњи приказ, јер се ту заглавља нагомилају и ту се показује ограничење путање. Питање о апликацији обично захтева унутрашњи приказ, јер ту корисни терет који вас занима још постоји. Снимање оба без плана даје две датотеке и ниједан закључак.

Користите безопасан, одобрен тест и филтрирајте по извору, одредишту и времену који вас занимају. Прочитајте интерфејс и опције филтрирања алата за снимање пре прикупљања, јер су метаподаци обично довољни и много их је лакше делити од корисног терета. Унутрашњи снимак третирајте као осетљив по подразумеваном, јер садржи нешифроване податке апликације који се штите тек даље дуж путање.

Шта разлика у величини заправо садржи

Спољашњи пакет носи додатна заглавља и заштитни материјал, а колико носи зависи од протокола и његових опција. Фрагментација, агрегација или преуређивање дуж путање могу покварити привидну везу један-на-један између унутрашњег пакета и спољашњих пакета који га носе, па поређење величине по величину није увек доступно. За сумњу на квар MTU-а, тражите повратну информацију о величини и тачку где саобраћај стаје, а затим то упоредите са оним што апликација пријављује. Образац поновног слања без одговора је другачији сигнал од ICMP грешке која носи величину следећег скока.

Један пакет који напусти домаћина не доказује ништа о томе да ли га је удаљени крај примио. Ако се ваш снимак завршава на вашем интерфејсу, показали сте да је кернел нешто емитовао, што је најслабији доступни доказ о путањи. Комбинујте снимак са симптомом који се понавља: исто одредиште, иста операција, иста величина, покрените два пута са једном промењеном променљивом.

Како offload улази у бројеве

Сегментација на страни домаћина и други offload уносе друго изобличење, и оно је то које чини да се локални снимци не слажу са мрежом. Локални снимак може показати бафере које адаптер касније дели, тако да су оквири на вези мањи и бројнији него што датотека сугерише. Зато велики бафер у датотеци снимка не доказује да је превелики оквир прошао сваку везу. Ако су величине важне за ваш закључак, забележите где је снимак направљен и да ли је offload био активан на том интерфејсу.

У супротном мерите удобност домаћина, а не понашање путање. Две датотеке означене својим интерфејсом и стањем offload-а решавају већину ових спорова за минут.

Где снимак престаје да буде доказ

Виђење шифрованих спољашњих пакета показује да у овим условима теста постоји граница заштите, и не говори ништа о другим апликацијама на уређају, о поступању оператера или о стању самог крајњег уређаја. Виђење чистог текста унутар тунела такође не значи да је тунел покварен; значи да сте снимали изнад тачке шифровања, што је легитимно место за преглед. Снимак је доказ о месту, а не пресуда о систему, и тикет тако треба и да га опише. Задржите реченицу о обиму у извештају, јер она спречава да једно запажање постане тврдња из ревизије.

Именујте сваку датотеку по интерфејсу, филтеру и временској ознаци, и избришите је када истрага заврши. Приручник за tcpdump описује интерфејс и филтерске заставице коришћене овде, укључујући оне које снимак држе малим.

Ако морате да делите доказе, делите величине, временске ознаке и заставице уместо корисног терета. Питање је било о величини пакета, а одговор ретко захтева нечије податке.