Промискуитетни режим на VPN адаптеру убија везу

Wireshark савршено ради на Ethernet интерфејсу, а затим на VPN адаптеру тунел престане да пропушта саобраћај у тренутку када снимање почне. Прозор снимања наставља да се пуни, па алат изгледа здраво док веза испод њега умире. Промискуитетни режим је уобичајен узрок, јер управљачки програм тунела од кога се тражи сваки оквир на сегменту који нема може завршити у стању у ком ништа не излази.

Прво искључите ту опцију, а затим одлучите који слој заиста треба да видите.

Два адаптера, два различита погледа

VPN клијент обично представља два интерфејса: физички који носи шифровани транспорт и виртуелни који носи дешифровани унутрашњи саобраћај. Они одговарају на различита питања. Физичко снимање показује крајње тачке, портове и величине пакета, док виртуелни приказује апликационе протоколе онако како их тунел доставља. Избор једног без знања на које питање одговарате троши снимање.

Ниједан поглед није надскуп оног другог, а једно снимање ретко одговара на оба питања одједном.

Изаберите интерфејс према питању, а не према редоследу на листи, јер клијент у PPP стилу може свој адаптер представити као Ethernet уређај и приказно име вам неће рећи који сте слој изабрали. Снимање на гејтвеју или зрцалном порту додаје трећи поглед који показује путању након прослеђивања, и ту асиметрично рутирање и филтрирање постају видљиви.

Зашто промискуитетни режим квари адаптер тунела

Промискуитетни режим тражи од управљачког програма да доставља оквире који нису адресирани на хоста, што има смисла на дељеном Ethernet сегменту и врло мало смисла на тунелу од тачке до тачке. Неки управљачки програми захтев прихватају мирно; други престану да избацују из реда саобраћај за слање и интерфејс тихо постане црна рупа. Снимање и даље бележи оно што стиже, па датотека изгледа као доказ исправне везе. Тај јаз између онога што датотека показује и онога што је интерфејс урадио јесте цела замка.

Искључите опцију пре првог пакета, држите филтер снимања уским и користите мали бафер. Велики прстенасти бафер на заузетом интерфејсу испушта управо оквире који су били важни, што даје снимање које је потпуно свуда осим тамо где је била грешка.

Ако веза стане усред снимања, зауставите је и пратите опоравак. То једно запажање раздваја нуспојаву снимања од стварне грешке тунела, и траје краће од било каквог подешавања филтера.

Како снимање IPsec-а учинити читљивим

Снимање IPsec-а само по себи није читљиво, јер ESP шифрује садржај. Wireshark га може декодирати када му дате сесијске кључеве или када може пратити IKE преговарање које их је створило, што значи да руковање мора бити у истој датотеци.

Кључеви истичу. Након што стране замене кључеве, скуп старих кључева престане да ради на пола снимања, а резултат изгледа као грешка у декодеру, а не као временска граница.

Следите произвођачев документовани формат кључева уместо да увозите материјал из неповезаног извора, и очекујте да ће неке платформе у потпуности одбити тај поступак. Када гејтвеј не жели да преда кључеве или дозволи снимање, прихватите да се садржај не може прегледати са вашег места. Дневници крајњих тачака и бројачи интерфејса преостали су докази и обично су довољни за питање о рутирању.

Снимање које можете безбедно да поделите

Унутрашње снимање је ближе изручењу акредитива него дневнику. Може садржавати имена, адресе и чисти текст из протокола писаних под претпоставком да их никада нико неће читати, што саму датотеку чини осетљивим артефактом, а не анализу.

Проверите да су хост и мрежа они на којима смете да снимате, запишите и интерфејс и филтер уз резултат, ограничите сесију на неколико минута који одговарају на питање и уклоните датотеку када завршите. Ако мора да се подели, прво опишите ток или уклоните садржај.

Затим поновите изворни кориснички задатак. Снимање које доказује да је пакет стигао није доказ да је апликација прихватила одговор, а разлика између то двоје обично је место где лежи стварна грешка.