VPN'de Ping Kaybı: Yüzdeden Önce Echo İsteklerini Gruplayın

Bir yakalama dosyası altı Echo isteği ve üç yanıt içeriyor ve biri bilete yüzde 50 paket kaybı yazıyor. Bu sayı yakalama için doğru, tünel için yanlış olabilir. Altı istek, iki farklı teslimat sözleşmesine sahip iki farklı konuşmaya ait olabilir. Bölmeden önce bunları gruplayın, o zaman oran raporun ilginç kısmı olmaktan çıkar.

Adım 1: akışları kaynak ve hedefe göre ayırın

Echo isteği bir kaynak ve bir hedef taşır ve bu iki alan hangi konuşmaya ait olduğunu belirler. Ağ geçidinin ürettiği sonda ağ geçidinin tünel adresini kullanır, oysa bir LAN ana bilgisayarı adına iletilen sonda o ana bilgisayarın adresini korur. Karşı tarafın birine dönüş yolu olabilir, diğerine olmayabilir; bu da iki grubun tünelle ilgisi olmayan nedenlerle farklı davranmasına yol açar.

Bir şey saymadan önce yakalamayı bu alanlara göre ayırın ve hedefi anahtarın parçası olarak tutun. Farklı eşlere giden iki akış, kaynağı paylaşsalar bile karşılaştırılamaz.

Grupları sayılarıyla birlikte yazın, çünkü sonraki adım hangi yanıtların hangi gruba ait olduğunu belirler. Üç isteği olup eşleşen yanıtı olmayan bir grup bir bulgudur. Üç isteği ve üç yanıtı olan bir grup temel çizgidir.

Adım 2: tanımlayıcı ve sıra numarasına göre eşleştirin

RFC 792'deki Echo biçimi bir tanımlayıcı ve bir sıra numarası taşır ve bunları yanıtı isteğiyle eşleştiren alanlar olarak ele alır. Bu iş için ikisi de gereklidir. Tek başına sıra numarası benzersiz değildir, çünkü farklı göndericiler veya süreçler aynı değeri tek bir yakalama penceresinde yeniden kullanabilir. Tanımlayıcı göndericiyi, sıra numarası konumu daraltır ve çift birlikte eşleşmeyi savunulabilir kılar.

Yanıt, isteğinin adres yönünü tersine çevirir, yani eşleşme iki aynı tuple değil, bir istek-yanıt çiftidir. İsteğin kaynağını yanıtın hedefiyle ve isteğin hedefini yanıtın kaynağıyla karşılaştırın, ardından tanımlayıcı ile sıranın uyuştuğunu doğrulayın.

Gözlem penceresini de koruyun, çünkü uzun bir yakalama her iki alanın yasal yeniden kullanımını içerebilir. Pencereyi tek bir patlamaya indirmek bu belirsizliğin büyük kısmını ortadan kaldırır. Ayrıca sayımları bileti okuyan herkes için yeniden üretilebilir kılar.

tshark -r capture.pcap -Y 'icmp.type == 8' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq
tshark -r capture.pcap -Y 'icmp.type == 0' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq

Adım 3: tuple'ları aynı sınırda karşılaştırın

Ağ adresi çevirisi yakalama noktası ile eş arasındaysa, istek ve yanıttaki adresler tasarım gereği farklı olacaktır. Tuple'ları tek bir sınırda karşılaştırın, veya farkın hesaba katılması için eşlemeyi açıkça taşıyın. Çeviri öncesi istekleri çeviri sonrası yanıtlarla karıştırmak, kabloda hiç var olmamış uyuşmazlıklar uydurur.

Saymaya başlamadan önce sınırı belirleyin ve rapor içinde belirtin ki sonraki kişi gruplamayı yeniden üretebilsin. İstemci tarafında bir yakalama ve sunucu tarafında bir diğeri iki farklı sınırdır. Her biri yanıtın nerede kaybolduğuna dair farklı bir soruya yanıt verir.

Çevrilmiş sonda grubu ayrıca çeviri aygıtının kendi durumunu devralır; bu, yanıtın hiç gelmemesinin gerçek nedeni olabilir. Ötesindeki yolu suçlamadan önce o durumu kontrol edin.

tcpdump -ni any icmp and host 10.90.0.1 -c 20
tshark -r capture.pcap -Y 'icmp' -T fields -e ip.src -e ip.dst -e ip.ttl | head -20

Adım 4: yakalamanın neyi kanıtlayıp neyi kanıtlayamayacağını söyleyin

Gözlenen boşluk, uzak ana bilgisayarın sustuğunu kanıtlamaz. Yakalama noktası yalnızca tek yön görebilir, bir filtre yanıtı düşürebilir veya tampon pencere sırasında taşmış olabilir. Bunların her biri aynı yokluğu ve farklı bir sonucu verir.

Sayımların yanına yakalama konumunu, filtre ifadesini ve düşürme sayaçlarını yazın, çünkü onlar olmadan oran denetlenemez. Sayıyı sonradan savunulabilir kılan tam olarak bu üç satırdır.

Sonra gözlemin neyi saptadığını neyi ima ettiğinden ayırın, bir değil iki cümleyle. İlk cümle sayımları ve sınırı belirtir. İkincisi hipotezi ve onu neyin doğrulayacağını belirtir.

Belirli bir yolun paket düşürüp düşürmediği sorusunda, açık kaynak adresli kontrollü bir sonda, karışık trafiğin pasif sayımından daha güçlü kanıttır. Aynı makineden, aynı anda, aynı eşe gönderin. Bir değişkeni değiştirin ve karşılaştırma geçerli kalır.

Grupları ve sonraki sınırı bildirin

Raporun üç satırı vardır: grubun tanımı, her grup içindeki eşleşen sayımlar ve karşılaştırmanın yapıldığı sınır. Okuyucu bir grubun tam yanıt verdiğini, diğerinin vermediğini görebilir; bu rastgele kayıp yerine bir rotaya veya izne işaret eder.

Gruplamanın yeniden üretilebilmesi için yakalama dosyasını ve filtre ifadelerini ekleyin. Dosyasız bir özet iddiadır, sonuç değildir.

ping -c 5 -I 10.80.0.6 10.90.0.1
ping -c 5 -I 10.30.0.25 10.90.0.1
tshark -r capture.pcap -Y 'icmp.type == 8 || icmp.type == 0' -T fields -e ip.src -e ip.dst -e icmp.ident -e icmp.seq | sort | uniq -c | head

Bir grup beş yanıt gösterip diğeri hiç göstermediğinde bulgu, bir kaynağın çalışan bir dönüş yolu olduğu, diğerinin olmadığıdır. Bu, karışık bir yüzdeden çok daha iyi bir bilettir ve sonraki kontrolü ilgisiz bir VPN örneğine değil dönüş rotasına yöneltir.