Panloob at panlabas na pakete sa VPN: bakit magkaiba ang laki

Nagku-capture ka ng 1400-byte na pakete sa tunnel interface, nag-capture muli sa pisikal na interface, at ayaw magtugma ng mga numero. Magkaiba ang mga address, magkaiba ang laki, at ang pangalawang file ay mukhang ibang usapan. Walang sira. Dalawang magkaibang pakete ang nakaupo sa dalawang magkaibang patong, at ang agwat sa pagitan nila ang ginagawa ng tunnel sa iyong trapiko. Basahin ang dalawang pananaw bago sisihin ang MTU.

Dalawang pananaw, at ang pakete na ipinapakita ng bawat isa

Ang capture na kinuha sa tunnel interface ay nagpapakita ng panloob na pakete: ang payload ng aplikasyon na may dalang orihinal na pinagmulan at patutunguhan, bago pa man ilapat ang anumang proteksyon. Ang capture sa pisikal na interface ay nagpapakita ng panlabas na pakete: isang IP header, isang transport header, ang encapsulation, at pagkatapos ang naka-encrypt na panloob na pakete bilang payload. Isang usapan, magkaibang bagay. Kapag pinangalanan mo kung alin ang nasa file, hindi na misteryo ang hindi pagtugma.

Ang pagkakaiba sa laki ay overhead, at ang pagkakaiba sa address ay disenyo. Baliktarin mo iyon at nagiging mahulaan ang kalituhan: inihahambing ng mga tao ang panloob na 1400-byte na pakete sa panlabas na 1450-byte na pakete, nagpasya na may mali, at nagsisimulang baguhin ang mga setting ng MTU na kailanman ay walang kasalanan. Lagyan ng label ang file gamit ang interface at ang patong, dahil ang label na iyon ang unang kailangan ng mambabasa at ang unang nakakalimutan ng mga tao.

Magpasya ng patong bago mo simulan ang capture

Magpasya kung aling patong ang sasagot sa iyong tanong bago isulat ang unang pakete. Ang tanong tungkol sa MTU ay kadalasang kailangan ang panlabas na pananaw, dahil doon nag-iipon ang mga header at doon lumilitaw ang limitasyon ng landas. Ang tanong tungkol sa aplikasyon ay kadalasang kailangan ang panloob na pananaw, dahil doon pa rin naroon ang payload na mahalaga sa iyo. Ang pag-capture ng dalawa nang walang plano ay nagbubunga ng dalawang file at walang konklusyon.

Gumamit ng walang pinsalang, awtorisadong pagsubok at mag-filter sa source, destination at oras na mahalaga sa iyo. Basahin ang interface at mga opsyon sa filter ng capture tool bago mangolekta, dahil kadalasan ay sapat na ang metadata at mas madaling ibahagi kaysa payload. Ituring na sensitibo ang panloob na capture bilang panimulang patakaran, dahil mayroon itong hindi naka-encrypt na data ng aplikasyon na pineprotektahan lamang sa mas malayo ng landas.

Ano talaga ang nilalaman ng pagkakaiba sa laki

Ang panlabas na pakete ay may dalang karagdagang header at materyal na pang-proteksyon, at kung gaano karami ang dala nito ay depende sa protocol at sa mga opsyon nito. Ang pag-fragment, pag-aggregate o muling pag-aayos sa landas ay maaaring makasira sa tila isa-sa-isang kaugnayan ng panloob na pakete at ng mga panlabas na pakete na may dalang nito, kaya hindi laging posible ang paghahambing ng laki sa laki. Para sa pinaghihinalaang sira ng MTU, hanapin ang feedback sa laki at ang punto kung saan humihinto ang trapiko, pagkatapos ihambing iyon sa iniuulat ng aplikasyon. Ang pattern ng retransmission na walang sagot ay ibang senyales kaysa sa ICMP error na may dalang laki ng susunod na hop.

Ang isang pakete na umalis sa host ay walang pinapatunayang kung natanggap ito ng dulong dulo. Kung ang iyong capture ay nagtatapos sa sarili mong interface, ipinakita mo na may inilabas ang kernel, na siyang pinakamahinang ebidensyang makukuha tungkol sa landas. Pagsamahin ang capture sa isang paulit-ulit na sintomas: parehong patutunguhan, parehong operasyon, parehong laki, patakbuhin nang dalawang beses na may isang variable na binago.

Pagbasa ng offload sa mga numero

Ang segmentation sa panig ng host at iba pang offload ay nagdaragdag ng pangalawang pagbaluktot, at iyon ang nagpapabago sa lokal na capture na hindi tugma sa kable. Ang lokal na capture ay maaaring magpakita ng mga buffer na hinahati ng adapter mamaya, kaya ang mga frame sa link ay mas maliit at mas marami kaysa sa iminumungkahi ng file. Iyon ang dahilan kung bakit ang malaking buffer sa capture file ay hindi nagpapatunay na ang sobrang laking frame ay tumawid sa bawat link. Kung mahalaga ang mga laki sa iyong konklusyon, itala kung saan kinuha ang capture at kung aktibo ang offload sa interface na iyon.

Kung hindi, sinusukat mo ang kaginhawahan ng host kaysa sa pag-uugali ng landas. Ang dalawang file na may label ng interface at estado ng offload ay nagtatapos sa karamihan ng mga pagtatalong ito sa loob ng isang minuto.

Kung saan tumitigil ang capture bilang ebidensya

Ang makita ang naka-encrypt na panlabas na pakete ay nagpapakita na may hangganan ng proteksyon sa ilalim ng mga kondisyon ng pagsubok na ito, at wala itong sinasabi tungkol sa iba pang aplikasyon sa device, sa paghawak ng operator, o sa estado ng dulong dulo mismo. Ang makita ang tahasang teksto sa loob ng tunnel ay hindi rin nangangahulugang sira ang tunnel; nangangahulugan ito na nag-capture ka sa itaas ng encryption point, na isang lehitimong lugar na titingnan. Ang capture ay ebidensya tungkol sa isang lugar, hindi hatol tungkol sa isang sistema, at dapat ilarawan iyon ng ticket. Panatilihin ang pangungusap tungkol sa saklaw sa ulat, dahil iyon ang pumipigil sa isang obserbasyon na maging isang pag-aangkin ng audit.

Pangalanan ang bawat file kasama ang interface, filter at timestamp, at burahin ito kapag natapos ang imbestigasyon. Ang tcpdump manual ay nagdodokumento ng interface at ng mga filter flag na ginamit dito, kasama ang mga nagpapanatiling maliit ang capture.

Kung kailangan mong ibahagi ang ebidensya, ibahagi ang laki, timestamp at flag kaysa payload. Ang tanong ay tungkol sa laki ng pakete, at bihirang kailanganin ng sagot ang data ng kahit sino.