Невибірковий режим на адаптері VPN обриває з’єднання
Захоплення на адаптері тунелю може зупинити його пересилання. Вимкніть невибірковий режим, виберіть рівень, який відповідає на питання, і поводьтеся з файлом як із секретом.
Wireshark бездоганно працює на інтерфейсі Ethernet, а потім на адаптері VPN тунель перестає пропускати трафік у той момент, коли починається захоплення. Вікно захоплення продовжує заповнюватися, тож інструмент виглядає здоровим, поки з’єднання під ним помирає. Невибірковий режим — звичайна причина, бо драйвер тунелю, у якого запитують кожен кадр на сегменті, якого він не має, може опинитися в стані, коли нічого не виходить.
Спершу вимкніть цю опцію, а потім вирішіть, який рівень вам справді треба побачити.
Два адаптери, два різні погляди
Клієнт VPN зазвичай подає два інтерфейси: фізичний, що несе зашифрований транспорт, і віртуальний, що несе розшифрований внутрішній трафік. Вони відповідають на різні питання. Фізичне захоплення показує кінцеві точки, порти й розміри пакетів, а віртуальне показує протоколи застосунків так, як їх доставляє тунель. Вибір одного без розуміння того, на яке питання ви відповідаєте, марнує захоплення.
Жоден погляд не є надмножиною іншого, і одне захоплення рідко відповідає на обидва питання одночасно.
Вибірайте інтерфейс за питанням, а не за порядком у списку, бо клієнт у стилі PPP може подати свій адаптер як пристрій Ethernet, і показана назва не скаже, який рівень ви вибрали. Захоплення на шлюзі або на дзеркальному порті додає третій погляд, що показує шлях після пересилання, і саме там стають видимими асиметрична маршрутизація та фільтрування.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Чому невибірковий режим ламає адаптер тунелю
Невибірковий режим просить драйвер доставляти кадри, не адресовані хосту, що має сенс у спільному сегменті Ethernet і дуже мало сенсу в тунелі точка-точка. Деякі драйвери сприймають запит спокійно; інші перестають виймати з черги трафік надсилання, і інтерфейс тихо стає чорною дірою. Захоплення все одно записує те, що надходить, тож файл виглядає доказом робочого каналу. Саме ця прірва між тим, що показує файл, і тим, що зробив інтерфейс, і є вся пастка.
Вимкніть опцію до першого пакета, тримайте фільтр захоплення вузьким і використовуйте малий буфер. Великий кільцевий буфер на завантаженому інтерфейсі губить саме ті кадри, що мали значення, і в результаті захоплення повне скрізь, крім місця, де була несправність.
Якщо канал застигне посеред захоплення, зупиніть його й спостерігайте за відновленням. Це одне спостереження відділяє побічний ефект захоплення від справжньої несправності тунелю, і воно забирає менше часу, ніж будь-яке налаштування фільтрів.
Як зробити захоплення IPsec читабельним
Захоплення IPsec саме по собі не читається, бо ESP шифрує корисне навантаження. Wireshark може його декодувати, коли ви надаєте ключі сеансу, або коли може простежити переговори IKE, що їх створили, а це означає, що рукостискання має бути в тому самому файлі.
Ключі спливають. Після того як сторони оновлять ключі, набір старих ключів перестає працювати посеред захоплення, і результат виглядає як помилка декодера, а не як часова межа.
Дотримуйтеся задокументованого постачальником формату ключів, а не імпортуйте матеріал із не пов’язаного джерела, і очікуйте, що деякі платформи повністю відмовляться від цього робочого процесу. Коли шлюз не видає ключі й не дозволяє захоплення, прийміть, що корисне навантаження не можна перевірити з вашого місця. Журнали кінцевих точок і лічильники інтерфейсу — це залишкові докази, і їх зазвичай достатньо для питання про маршрутизацію.
Захоплення, яким можна безпечно поділитися
Внутрішнє захоплення ближче до витоку облікових даних, ніж до журналу. Воно може містити імена, адреси й відкритий текст із протоколів, написаних із припущенням, що їх ніколи ніхто не читатиме, і це робить чутливим артефактом сам файл, а не аналіз.
Переконайтеся, що хост і мережа — ті, на яких вам дозволено вести захоплення, запишіть і інтерфейс, і фільтр разом із результатом, обмежте сеанс кількома хвилинами, що відповідають на питання, і видаліть файл після завершення. Якщо його треба передати, спершу опишіть потік або приберіть корисне навантаження.
Потім повторіть початкове завдання користувача. Захоплення, що доводить надходження пакета, не є доказом того, що застосунок прийняв відповідь, і різниця між цими двома речами зазвичай там, де й міститься справжня несправність.