VPN bağdaştırıcısında seçici olmayan mod bağlantıyı koparır
Tünel bağdaştırıcısındaki bir yakalama, iletimini durdurabilir. Seçici olmayan modu kapatın, soruyu yanıtlayan katmanı seçin ve dosyayı bir sır olarak görün.
Wireshark bir Ethernet arayüzünde kusursuz çalışır, sonra bir VPN bağdaştırıcısında tünel, yakalama başladığı anda trafiği geçirmeyi bırakır. Yakalama penceresi dolmaya devam eder, bu yüzden araç sağlıklı görünürken altındaki bağlantı ölür. Seçici olmayan mod olağan nedendir, çünkü sahip olmadığı bir segmentteki her çerçeveyi istendiği tünel sürücüsü hiçbir şeyin çıkmadığı bir duruma düşebilir.
Önce bu seçeneği kapatın, sonra gerçekten hangi katmanı görmeniz gerektiğine karar verin.
İki bağdaştırıcı, iki farklı görünüm
Bir VPN istemcisi genellikle iki arayüz sunar: şifrelenmiş taşımayı üstlenen fiziksel olan ve şifresi çözülmüş iç trafiği üstlenen sanal olan. Farklı sorulara yanıt verirler. Fiziksel yakalama uç noktaları, bağlantı noktalarını ve paket boyutlarını gösterirken, sanal olan uygulama protokollerini tünelin teslim ettiği biçimde gösterir. Hangi soruyu sorduğunuzu bilmeden birini seçmek yakalamayı boşa harcar.
Hiçbir görünüm diğerinin üst kümesi değildir ve tek bir yakalama iki soruya aynı anda nadiren yanıt verir.
Arayüzü listenin sırasına göre değil soruya göre seçin, çünkü PPP tarzı bir istemci bağdaştırıcısını Ethernet aygıtı olarak sunabilir ve görünen ad hangi katmanı seçtiğinizi söylemez. Bir ağ geçidinde veya ayna bağlantı noktasında yakalama, iletimden sonraki yolu gösteren üçüncü bir görünüm ekler ve asimetrik yönlendirme ile filtreleme tam orada görünür hale gelir.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Seçici olmayan mod bir tünel bağdaştırıcısını neden bozar
Seçici olmayan mod sürücüden ana makineye adreslenmemiş çerçeveleri teslim etmesini ister; bu, paylaşılan bir Ethernet segmentinde anlamlıdır ve noktadan noktaya bir tünelde çok az anlam taşır. Bazı sürücüler isteği sakince karşılar; diğerleri gönderme trafiğini kuyruktan çıkarmayı bırakır ve arayüz sessizce bir kara deliğe dönüşür. Yakalama yine de geleni kaydeder, bu yüzden dosya çalışan bir bağlantının kanıtı gibi görünür. Dosyanın gösterdiği ile arayüzün yaptığı arasındaki o boşluk tuzağın tamamıdır.
Seçeneği ilk paketten önce kapatın, yakalama filtresini dar tutun ve küçük bir arabellek kullanın. Yoğun bir arayüzde büyük bir halka arabelleği tam da önemli olan çerçeveleri düşürür, bu da arızanın olduğu yer dışında her yerde eksiksiz bir yakalama üretir.
Bağlantı yakalamanın ortasında takılırsa durdurun ve toparlanmayı izleyin. Bu tek gözlem, yakalamanın yan etkisini gerçek bir tünel arızasından ayırır ve herhangi bir filtre ayarından daha az zaman alır.
Bir IPsec yakalamasını okunur kılmak
Bir IPsec yakalaması tek başına okunur değildir, çünkü ESP yükü şifreler. Wireshark, oturum anahtarlarını verdiğinizde veya bunları üreten IKE görüşmesini izleyebildiğinde onu çözebilir; bu da el sıkışmanın aynı dosyada olması gerektiği anlamına gelir.
Anahtarların süresi dolar. Taraflar anahtarları yeniledikten sonra eski anahtarlar kümesi yakalamanın ortasında çalışmayı bırakır ve sonuç bir zaman sınırı değil, kod çözücü hatası gibi görünür.
İlgisiz bir kaynaktan malzeme içe aktarmak yerine üreticinin belgelediği anahtar biçimini izleyin ve bazı platformların iş akışını tümüyle reddetmesini bekleyin. Ağ geçidi anahtarları vermezse veya yakalamaya izin vermezse, yükün bulunduğunuz yerden incelenemeyeceğini kabul edin. Uç nokta günlükleri ve arayüz sayaçları kalan kanıtlardır ve yönlendirme sorusu için genellikle yeterlidir.
Güvenle paylaşabileceğiniz bir yakalama
İç yakalama, bir günlükten çok kimlik bilgilerinin dökümüne yakındır. İçinde adlar, adresler ve kimsenin asla okumayacağı varsayımıyla yazılmış protokollerden düz metin bulunabilir; bu da hassas eseri analiz değil dosyanın kendisi yapar.
Ana makine ve ağın yakalama yapmanıza izin verilen yerler olduğundan emin olun, hem arayüzü hem de filtreyi sonuçla birlikte not edin, oturumu soruyu yanıtlayan birkaç dakikayla sınırlayın ve bitirdiğinizde dosyayı kaldırın. Paylaşılması gerekiyorsa önce akışı betimleyin veya yükü çıkarın.
Ardından özgün kullanıcı görevini yineleyin. Bir paketin geldiğini kanıtlayan yakalama, uygulamanın yanıtı kabul ettiğinin kanıtı değildir ve bu ikisi arasındaki fark genellikle gerçek arızanın bulunduğu yerdir.