โหมดพรอมิสคิวอัสบนอะแดปเตอร์ VPN ทำให้การเชื่อมต่อขาด
การดักจับบนอะแดปเตอร์อุโมงค์อาจหยุดการส่งต่อได้ ปิดโหมดพรอมิสคิวอัส เลือกชั้นที่ตอบคำถาม และถือว่าไฟล์เป็นความลับ
Wireshark ทำงานได้อย่างสมบูรณ์บนอินเทอร์เฟซ Ethernet จากนั้นบนอะแดปเตอร์ VPN อุโมงค์ก็หยุดส่งผ่านทราฟฟิกทันทีที่เริ่มดักจับ หน้าต่างดักจับยังคงเต็มอยู่ เครื่องมือจึงดูปกติ ขณะที่การเชื่อมต่อข้างใต้ตายไป โหมดพรอมิสคิวอัสเป็นสาเหตุปกติ เพราะไดรเวอร์อุโมงค์ที่ถูกขอให้ส่งทุกเฟรมบนเซกเมนต์ที่ตนไม่มีอาจจบลงในสถานะที่ไม่มีอะไรออกไป
ปิดตัวเลือกนั้นก่อน แล้วจึงตัดสินใจว่าคุณต้องดูชั้นใดจริง ๆ
อะแดปเตอร์สองตัว มุมมองสองแบบ
ไคลเอนต์ VPN มักแสดงอินเทอร์เฟซสองตัว คือตัวกายภาพที่พาการรับส่งแบบเข้ารหัส และตัวเสมือนที่พาทราฟฟิกภายในที่ถอดรหัสแล้ว ทั้งสองตอบคำถามต่างกัน การดักจับฝั่งกายภาพแสดงปลายทาง พอร์ต และขนาดแพ็กเก็ต ส่วนฝั่งเสมือนแสดงโปรโตคอลแอปพลิเคชันตามที่อุโมงค์ส่งมา การเลือกอันเดียวโดยไม่รู้ว่ากำลังถามอะไรทำให้การดักจับสูญเปล่า
ไม่มีมุมมองใดครอบคลุมอีกมุมมองทั้งหมด และการดักจับครั้งเดียวมักไม่ตอบทั้งสองคำถามพร้อมกัน
เลือกอินเทอร์เฟซจากคำถาม ไม่ใช่จากลำดับในรายการ เพราะไคลเอนต์แบบ PPP อาจแสดงอะแดปเตอร์ของตนเป็นอุปกรณ์ Ethernet และชื่อที่แสดงจะไม่บอกว่าคุณเลือกชั้นใด การดักจับที่เกตเวย์หรือพอร์ตกระจกเพิ่มมุมมองที่สาม ซึ่งแสดงเส้นทางหลังการส่งต่อ และนั่นคือที่ที่การเราท์แบบอสมมาตรและการกรองปรากฏขึ้น
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
ทำไมโหมดพรอมิสคิวอัสจึงทำให้อะแดปเตอร์อุโมงค์เสีย
โหมดพรอมิสคิวอัสขอให้ไดรเวอร์ส่งเฟรมที่ไม่ได้ส่งถึงโฮสต์ ซึ่งสมเหตุสมผลบนเซกเมนต์ Ethernet ที่ใช้ร่วมกัน และแทบไม่สมเหตุสมผลบนอุโมงค์แบบจุดต่อจุด ไดรเวอร์บางตัวจัดการคำขออย่างสงบ บางตัวหยุดดึงทราฟฟิกขาส่งออกจากคิว และอินเทอร์เฟซก็กลายเป็นหลุมดำอย่างเงียบ ๆ การดักจับยังคงบันทึกสิ่งที่เข้ามา ไฟล์จึงดูเหมือนหลักฐานของลิงก์ที่ทำงานได้ ช่องว่างระหว่างสิ่งที่ไฟล์แสดงกับสิ่งที่อินเทอร์เฟซทำคือกับดักทั้งหมด
ปิดตัวเลือกก่อนแพ็กเก็ตแรก รักษาตัวกรองการดักจับให้แคบ และใช้บัฟเฟอร์เล็ก ๆ บัฟเฟอร์วงแหวนขนาดใหญ่บนอินเทอร์เฟซที่ยุ่งจะทิ้งเฟรมที่สำคัญพอดี ทำให้การดักจับสมบูรณ์ทุกที่ยกเว้นจุดที่เกิดปัญหา
ถ้าลิงก์หยุดกลางการดักจับ ให้หยุดแล้วดูการฟื้นตัว การสังเกตครั้งเดียวนั้นแยกผลข้างเคียงของการดักจับออกจากความผิดปกติของอุโมงค์จริง และใช้เวลาน้อยกว่าการปรับตัวกรองใด ๆ
ทำให้การดักจับ IPsec อ่านได้
การดักจับ IPsec เพียงอย่างเดียวอ่านไม่ได้ เพราะ ESP เข้ารหัสเพย์โหลด Wireshark ถอดรหัสได้เมื่อคุณให้คีย์เซสชัน หรือเมื่อมันติดตามการเจรจา IKE ที่สร้างคีย์เหล่านั้นได้ ซึ่งหมายความว่าแฮนด์เชกต้องอยู่ในไฟล์เดียวกัน
คีย์หมดอายุ หลังจากทั้งสองฝ่ายต่ออายุคีย์ ชุดคีย์เก่าก็หยุดทำงานกลางการดักจับ และผลลัพธ์ดูเหมือนบั๊กของตัวถอดรหัสมากกว่าขอบเขตเวลา
ทำตามรูปแบบคีย์ที่ผู้ขายจัดทำเอกสารไว้ แทนการนำเข้าวัสดุจากแหล่งที่ไม่เกี่ยวข้อง และคาดว่าบางแพลตฟอร์มจะปฏิเสธขั้นตอนทั้งหมด เมื่อเกตเวย์ไม่ยอมให้คีย์หรือไม่อนุญาตให้ดักจับ ให้ยอมรับว่าเพย์โหลดตรวจสอบไม่ได้จากที่ที่คุณอยู่ บันทึกปลายทางและตัวนับอินเทอร์เฟซคือหลักฐานที่เหลือ และมักเพียงพอสำหรับคำถามเรื่องการเราท์
การดักจับที่แชร์ได้อย่างปลอดภัย
การดักจับภายในใกล้เคียงกับการทิ้งข้อมูลรับรองมากกว่าบันทึก อาจมีชื่อ ที่อยู่ และข้อความธรรมดาจากโปรโตคอลที่เขียนขึ้นโดยสมมติว่าไม่มีใครจะอ่าน ซึ่งทำให้ไฟล์เองเป็นสิ่งอ่อนไหว ไม่ใช่การวิเคราะห์
ตรวจสอบว่าโฮสต์และเครือข่ายเป็นสิ่งที่คุณได้รับอนุญาตให้ดักจับ บันทึกทั้งอินเทอร์เฟซและตัวกรองพร้อมผลลัพธ์ จำกัดเซสชันไว้เพียงไม่กี่นาทีที่ตอบคำถาม และลบไฟล์เมื่อเสร็จ หากต้องแชร์ ให้อธิบายการไหลหรือตัดเพย์โหลดออกก่อน
จากนั้นทำภารกิจเดิมของผู้ใช้อีกครั้ง การดักจับที่พิสูจน์ว่าแพ็กเก็ตมาถึงไม่ใช่หลักฐานว่าแอปพลิเคชันยอมรับคำตอบ และความแตกต่างระหว่างสองสิ่งนี้มักเป็นที่ที่ความผิดปกติจริงอยู่