VPN tutib olishda ichki va tashqi paketlar: nega o‘lchamlar farq qiladi

Siz tunnel interfeysida 1400 baytlik paketlarni ushlaysiz, keyin jismoniy interfeysda yana ushlaysiz, va raqamlar hech qanday mos kelmaydi. Manzillar boshqacha, o‘lchamlar boshqacha, ikkinchi fayl esa boshqa suhbatga o‘xshaydi. Hech narsa buzilmagan. Ikki xil paket ikki xil qatlamda turibdi, va ular orasidagi farq tunnel trafigingizga qilayotgan ishidir. MTU ni ayblashdan oldin ikkala ko‘rinishni ham o‘qing.

Ikki nuqtai nazar va har biri ko‘rsatadigan paket

Tunnel interfeysida olingan ushlash ichki paketni ko‘rsatadi: ilovaning yuklamasi o‘zining asl manbasi va manzili bilan, har qanday himoya qo‘llanilishidan oldin. Jismoniy interfeysdagi ushlash tashqi paketni ko‘rsatadi: IP sarlavhasi, transport sarlavhasi, inkapsulyatsiya, va keyin yuklama sifatida shifrlangan ichki paket. Bir xil suhbat, ammo turli obyektlar. Fayl qaysinisini saqlashini nomlaganingizdan so‘ng, nomuvofiqlik sir bo‘lishdan to‘xtaydi.

O‘lcham farqi bu qo‘shimcha xarajat, manzil farqi esa dizayn natijasi. Buni aylantirib qarasangiz, chalkashlik oldindan aytib bo‘ladigan holga keladi: odamlar ichki 1400 baytlik paketni tashqi 1450 baytlik paket bilan solishtiradi, nimadir noto‘g‘ri deb qaror qiladi va hech qachon aybdor bo‘lmagan MTU sozlamalarini o‘zgartira boshlaydi. Faylni interfeys va qatlam bilan belgilang, chunki bu yorliq o‘quvchiga birinchi kerak bo‘ladigan narsa va odamlar birinchi bo‘lib tushirib qoldiradigan narsadir.

Ushlashni boshlashdan oldin qatlamni aniqlang

Birinchi paket yozilishidan oldin qaysi qatlam savolingizga javob berishini aniqlang. MTU haqidagi savol odatda tashqi ko‘rinishni talab qiladi, chunki sarlavhalar shu yerda to‘planadi va yo‘l chegarasi shu yerda ko‘rinadi. Ilova haqidagi savol odatda ichki ko‘rinishni talab qiladi, chunki sizni qiziqtirgan yuklama hali ham shu yerda mavjud. Rejasiz ikkalasini ham ushlash ikkita fayl va hech qanday xulosa bermaydi.

Zararsiz va ruxsat etilgan sinovdan foydalaning va sizni qiziqtirgan manba, manzil va vaqt bo‘yicha filtrlang. Yig‘ishdan oldin ushlash vositasining interfeys va filtr imkoniyatlarini o‘qing, chunki metadata odatda yetarli va yuklamaga qaraganda ancha oson ulashiladi. Ichki ushlashni sukut bo‘yicha maxfiy deb hisoblang, chunki u faqat yo‘lning keyingi qismida himoyalanadigan shifrlanmagan ilova ma’lumotlarini saqlaydi.

O‘lcham farqi aslida nimani o‘z ichiga oladi

Tashqi paket qo‘shimcha sarlavhalar va himoya materialini olib yuradi, qancha olib yurishi esa protokol va uning parametrlariga bog‘liq. Yo‘l bo‘ylab bo‘laklash, birlashtirish yoki qayta tartiblash ichki paket bilan uni olib yuruvchi tashqi paketlar o‘rtasidagi ko‘rinib turgan birga-bir munosabatni buzishi mumkin, shuning uchun har bir o‘lchamni solishtirish har doim ham mumkin emas. MTU nosozligiga shubha qilsangiz, o‘lcham haqidagi qayta aloqa va trafik to‘xtaydigan nuqtani qidiring, so‘ng buni ilova xabar bergan narsa bilan solishtiring. Javobsiz qayta uzatish naqshi keyingi sakrash o‘lchamini olib yuruvchi ICMP xatosidan boshqa signaldir.

Xostdan chiqqan bitta paket uzoq tomon uni qabul qilgani haqida hech narsani isbotlamaydi. Agar ushlashingiz o‘z interfeysingizda tugasa, siz yadro nimadir chiqarganini ko‘rsatgansiz, bu esa yo‘l haqidagi eng zaif dalildir. Ushlashni takrorlanadigan alomat bilan birlashtiring: bir xil manzil, bir xil amal, bir xil o‘lcham, bitta o‘zgaruvchi o‘zgartirilgan holda ikki marta ishga tushiring.

Offloadni raqamlarga o‘qish

Xost tomonidagi segmentatsiya va boshqa offload turlari ikkinchi buzilishni qo‘shadi, va aynan shu narsa mahalliy ushlashlarni simga mos kelmaydigan qiladi. Mahalliy ushlash adapter keyinroq bo‘ladigan buferlarni ko‘rsatishi mumkin, shuning uchun havoladagi kadrlar fayl taklif qilganidan kichikroq va ko‘proq bo‘ladi. Shuning uchun ushlash faylidagi katta bufer haddan tashqari katta kadr har bir havoladan o‘tganini isbotlamaydi. Agar o‘lchamlar xulosangiz uchun muhim bo‘lsa, ushlash qayerda olinganini va o‘sha interfeysda offload faol bo‘lgan-bo‘lmaganini yozib qo‘ying.

Aks holda siz yo‘lning xatti-harakati o‘rniga xostning qulayligini o‘lchayapsiz. Interfeysi va offload holati yozilgan ikkita fayl bu bahslarning ko‘pini bir daqiqada hal qiladi.

Ushlash qayerdan dalil bo‘lishdan to‘xtaydi

Shifrlangan tashqi paketlarni ko‘rish bu sinov sharoitlarida himoya chegarasi mavjudligini ko‘rsatadi va qurilmadagi boshqa ilovalar, operatorning ishlashi yoki oxirgi nuqtaning o‘z holati haqida hech narsa demaydi. Tunnel ichida ochiq matnni ko‘rish ham tunnel buzilgan degani emas; bu siz shifrlash nuqtasidan yuqorida ushlaganingizni bildiradi, bu esa qarash uchun qonuniy joy. Ushlash bu joy haqidagi dalil, tizim haqidagi hukm emas, va chipta buni shunday tasvirlashi kerak. Hisobotda qamrov jumlasini saqlang, chunki aynan u bitta kuzatuvning audit da’vosiga aylanishini to‘xtatadi.

Har bir faylni interfeysi, filtri va vaqt belgisi bilan nomlang, tergov tugagach uni o‘chiring. tcpdump qo‘llanmasi bu yerda ishlatilgan interfeys va filtr bayroqlarini, jumladan ushlashni kichik saqlaydiganlarini ham hujjatlashtiradi.

Agar dalil ulashishga to‘g‘ri kelsa, yuklama o‘rniga o‘lchamlar, vaqt belgilari va bayroqlarni ulashing. Savol paket o‘lchami haqida edi, javob esa kamdan-kam hollarda birovning ma’lumotlarini talab qiladi.