Pagkawala ng Ping sa isang VPN: pangkatin ang mga kahilingang Echo bago ang porsyento

Isang pagkuha ang naglalaman ng anim na kahilingang Echo at tatlong tugon, at may nagsusulat sa ticket ng 50 porsiyentong pagkawala ng packet. Maaaring totoo ang bilang na iyon sa pagkuha at mali sa tunnel. Maaaring kabilang ang anim na kahilingan sa dalawang magkaibang usapan na may dalawang magkaibang kontrata ng paghahatid. Pangkatin ang mga ito bago hatiin, at hindi na ang ratio ang kawili-wiling bahagi ng ulat.

Hakbang 1: paghiwalayin ang mga stream ayon sa pinagmulan at patutunguhan

May pinagmulan at patutunguhan ang kahilingang Echo, at tinutukoy ng dalawang field na iyon kung aling usapan ito kabilang. Ang probe na nilikha ng gateway ay gumagamit ng tunnel address ng gateway, samantalang ang probe na ipinasa sa ngalan ng isang LAN host ay nagpapanatili ng address ng host na iyon. Maaaring may return route ang kabilang panig para sa isa at wala para sa isa pa, kaya kumakal ang dalawang grupo nang iba dahil sa mga dahilan na walang kaugnayan sa tunnel.

Hatiin ang pagkuha sa mga field na iyon bago magbilang ng anuman, at panatilihin ang patutunguhan bilang bahagi ng key. Dalawang stream patungo sa magkaibang peer ay hindi maihahambing kahit magkapareho ang pinagmulan.

Isulat ang mga grupo kasama ang kanilang bilang, dahil ang susunod na hakbang ang magpapasya kung aling mga tugon ang kabilang sa aling grupo. Ang grupo na may tatlong kahilingan at walang tugmang tugon ay isang natuklasan. Ang grupo na may tatlong kahilingan at tatlong tugon ay baseline.

Hakbang 2: itugma sa tagatukoy at pagkakasunod-sunod

Ang format na Echo sa RFC 792 ay may tagatukoy at sequence number, at itinuturing ang mga ito bilang mga field na nagpapares ng tugon sa kahilingan nito. Kailangan ang dalawa para sa gawaing iyon. Ang sequence number lamang ay hindi natatangi, dahil maaaring muling gamitin ng magkaibang sender o proseso ang parehong halaga sa loob ng isang capture window. Pinapaliit ng tagatukoy ang sender at ng sequence ang posisyon, at ang pares mismo ang nagpapatingkad ng pagtutugma.

Binabaligtad ng tugon ang direksyon ng mga address ng kahilingan nito, kaya ang tugma ay pares na kahilingan-tugon at hindi dalawang magkaparehong tuple. Ihambing ang pinagmulan ng kahilingan sa patutunguhan ng tugon at ang patutunguhan ng kahilingan sa pinagmulan ng tugon, pagkatapos ay tiyakin na tugma ang tagatukoy at pagkakasunod-sunod.

Panatilihin din ang window ng pagmamasid, dahil ang mahabang pagkuha ay maaaring may lehitimong muling paggamit ng dalawang field. Ang pagputol ng window sa isang pagsabog ay nag-aalis ng karamihan ng kalabuan. Ginagawa rin nitong maaaring muling gawin ang mga bilang para sa sinumang nagbabasa ng ticket.

tshark -r capture.pcap -Y 'icmp.type == 8' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq
tshark -r capture.pcap -Y 'icmp.type == 0' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq

Hakbang 3: ihambing ang mga tuple sa parehong hangganan

Kung ang pagsasalin ng network address ay nasa pagitan ng capture point at ng peer, magkakaiba ang mga address sa kahilingan at tugon ayon sa disenyo. Ihambing ang mga tuple sa isang hangganan, o dalhin nang tahasan ang mapping upang maisaalang-alang ang pagkakaiba. Ang paghahalo ng mga kahilingan bago ang pagsasalin sa mga tugon pagkatapos ng pagsasalin ay lumilikha ng mga pagkakaibang hindi kailanman umiral sa kawad.

Magpasya ng hangganan bago magsimulang magbilang, at isaad ito sa ulat upang maulit ng susunod na tao ang pagpapangkat. Ang isang pagkuha sa panig ng kliyente at isa pa sa panig ng server ay dalawang magkaibang hangganan. Bawat isa ay sumasagot sa magkaibang tanong tungkol sa kung saan naglaho ang tugon.

Ang grupo ng isinaling probe ay nagmamana rin ng sariling estado ng aparatong pansalin, na maaaring ang tunay na dahilan kung bakit hindi dumarating ang tugon. Suriin ang estadong iyon bago sisihin ang landas sa kabila nito.

tcpdump -ni any icmp and host 10.90.0.1 -c 20
tshark -r capture.pcap -Y 'icmp' -T fields -e ip.src -e ip.dst -e ip.ttl | head -20

Hakbang 4: sabihin kung ano ang maaari at hindi maaaring patunayan ng pagkuha

Ang namasid na puwang ay hindi nagpapatunay na nanahimik ang malayong host. Maaaring isang direksyon lang ang nakikita ng capture point, maaaring itapon ng filter ang tugon, o maaaring umapaw ang buffer sa loob ng window. Bawat isa ay nagbubunga ng parehong kawalan at magkaibang konklusyon.

Itala ang lokasyon ng pagkuha, ang ekspresyon ng filter at ang mga drop counter kasama ng mga bilang, dahil ang ratio na wala ang mga ito ay hindi maaaring i-audit. Ang tatlong linyang iyon ang nagpapatingkad ng bilang sa hinaharap.

Pagkatapos, ihiwalay ang itinatag ng pagmamasid sa sinasabi nito, sa dalawang pangungusap sa halip na isa. Ang unang pangungusap ay nagsasaad ng mga bilang at hangganan. Ang pangalawa ay nagsasaad ng haypotesis at kung ano ang magpapatunay nito.

Kapag ang tanong ay kung itinatapon ng isang partikular na landas ang mga packet, ang kontroladong probe na may tahasang source address ay mas matibay na ebidensya kaysa pasibong pagbilang ng haluang trapiko. Ipadala ito mula sa parehong makina, sa parehong oras, sa parehong peer. Baguhin ang isang variable at nananatili ang paghahambing.

Iulat ang mga grupo at ang susunod na hangganan

May tatlong linya ang ulat: ang depinisyon ng grupo, ang mga tugmang bilang sa loob ng bawat grupo at ang hangganang ginawan ng paghahambing. Makikita ng mambabasa na kumpletong sumagot ang isang grupo at hindi ang isa, na tumuturo sa ruta o pahintulot at hindi sa random na pagkawala.

Ilakip ang file ng pagkuha at ang mga ekspresyon ng filter upang maulit ang pagpapangkat. Ang buod na walang file ay isang pahayag, hindi resulta.

ping -c 5 -I 10.80.0.6 10.90.0.1
ping -c 5 -I 10.30.0.25 10.90.0.1
tshark -r capture.pcap -Y 'icmp.type == 8 || icmp.type == 0' -T fields -e ip.src -e ip.dst -e icmp.ident -e icmp.seq | sort | uniq -c | head

Kapag nagpakita ang isang grupo ng limang tugon at ang isa ay wala, ang natuklasan ay may gumaganang return path ang isang pinagmulan at wala ang isa. Mas mahusay na ticket iyon kaysa haluang porsyento, at itinuturo nito ang susunod na pagsusuri sa return route sa halip na sa isang walang kaugnayang VPN instance.