Chế độ promiscuous trên bộ điều hợp VPN giết chết kết nối
Việc bắt gói trên bộ điều hợp đường hầm có thể dừng chuyển tiếp. Tắt chế độ promiscuous, chọn lớp trả lời câu hỏi và coi tệp là bí mật.
Wireshark hoạt động hoàn hảo trên giao diện Ethernet và rồi, trên bộ điều hợp VPN, đường hầm ngừng chuyển lưu lượng ngay khi quá trình bắt gói bắt đầu. Cửa sổ bắt gói vẫn tiếp tục đầy lên, nên công cụ trông khỏe mạnh trong khi kết nối bên dưới chết đi. Chế độ promiscuous là nguyên nhân thường gặp, bởi trình điều khiển đường hầm khi bị yêu cầu mọi khung trên một phân đoạn mà nó không có có thể rơi vào trạng thái không có gì đi ra.
Tắt tùy chọn đó trước, rồi quyết định lớp nào bạn thực sự cần xem.
Hai bộ điều hợp, hai góc nhìn khác nhau
Một máy khách VPN thường trình bày hai giao diện: giao diện vật lý mang phần vận chuyển đã mã hóa, và giao diện ảo mang lưu lượng nội bộ đã giải mã. Chúng trả lời những câu hỏi khác nhau. Bản bắt gói vật lý cho thấy điểm cuối, cổng và kích thước gói, còn bản ảo cho thấy các giao thức ứng dụng đúng như đường hầm chuyển giao. Chọn một mà không biết mình đang hỏi gì sẽ làm phí bản bắt gói.
Không góc nhìn nào là tập cha của góc nhìn kia, và một bản bắt gói hiếm khi trả lời cả hai câu hỏi cùng lúc.
Chọn giao diện theo câu hỏi chứ không theo thứ tự trong danh sách, bởi máy khách kiểu PPP có thể trình bày bộ điều hợp của mình như một thiết bị Ethernet và tên hiển thị sẽ không cho bạn biết bạn đã chọn lớp nào. Bắt gói tại cổng hoặc cổng gương thêm góc nhìn thứ ba, cho thấy đường đi sau khi chuyển tiếp, và đó chính là nơi định tuyến không đối xứng và lọc trở nên hữu hình.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Tại sao chế độ promiscuous phá hỏng bộ điều hợp đường hầm
Chế độ promiscuous yêu cầu trình điều khiển giao những khung không được gửi đến máy chủ, điều có lý trên một phân đoạn Ethernet dùng chung và rất ít lý trên một đường hầm điểm-điểm. Một số trình điều khiển xử lý yêu cầu một cách điềm tĩnh; số khác ngừng lấy lưu lượng truyền ra khỏi hàng đợi, và giao diện lặng lẽ trở thành một hố đen. Bản bắt gói vẫn ghi lại những gì đến, nên tệp trông như bằng chứng của một liên kết đang hoạt động. Chính khoảng cách giữa điều tệp cho thấy và điều giao diện đã làm là toàn bộ cái bẫy.
Tắt tùy chọn trước gói đầu tiên, giữ bộ lọc bắt gói hẹp và dùng bộ đệm nhỏ. Bộ đệm vòng lớn trên một giao diện bận rộn làm rơi đúng những khung quan trọng, tạo ra một bản bắt gói đầy đủ ở mọi nơi trừ nơi xảy ra sự cố.
Nếu liên kết dừng giữa lúc bắt gói, hãy dừng lại và quan sát quá trình phục hồi. Chính quan sát đó tách một tác dụng phụ của việc bắt gói khỏi một sự cố thật của đường hầm, và nó tốn ít thời gian hơn mọi cách tinh chỉnh bộ lọc.
Làm cho bản bắt gói IPsec đọc được
Một bản bắt gói IPsec tự nó không đọc được, vì ESP mã hóa tải trọng. Wireshark có thể giải mã khi bạn cung cấp khóa phiên, hoặc khi nó theo dõi được cuộc thương lượng IKE đã tạo ra chúng, nghĩa là bắt tay phải nằm trong cùng tệp.
Khóa hết hạn. Sau khi hai bên gia hạn khóa, một bộ khóa cũ ngừng hoạt động giữa lúc bắt gói, và kết quả trông như lỗi của bộ giải mã chứ không phải một ranh giới thời gian.
Hãy theo định dạng khóa do nhà cung cấp ghi tài liệu thay vì nhập tài liệu từ một nguồn không liên quan, và hãy chờ một số nền tảng từ chối hoàn toàn quy trình này. Khi cổng không giao khóa hoặc không cho phép bắt gói, hãy chấp nhận rằng không thể kiểm tra tải trọng từ chỗ bạn ngồi. Nhật ký điểm cuối và bộ đếm giao diện là bằng chứng còn lại, và thường đủ cho một câu hỏi về định tuyến.
Một bản bắt gói bạn có thể chia sẻ an toàn
Một bản bắt gói bên trong gần với việc làm lộ thông tin đăng nhập hơn là một nhật ký. Nó có thể chứa tên, địa chỉ và văn bản rõ từ những giao thức được viết với giả định rằng không ai sẽ đọc chúng, điều khiến chính tệp trở thành hiện vật nhạy cảm chứ không phải bản phân tích.
Hãy chắc rằng máy chủ và mạng là những nơi bạn được phép bắt gói, ghi lại cả giao diện và bộ lọc cùng với kết quả, giới hạn phiên trong vài phút trả lời câu hỏi, và xóa tệp khi xong. Nếu phải chia sẻ, hãy mô tả luồng hoặc bỏ tải trọng trước.
Sau đó lặp lại công việc ban đầu của người dùng. Một bản bắt gói chứng minh gói đã đến không phải là bằng chứng ứng dụng đã chấp nhận câu trả lời, và sự khác biệt giữa hai điều đó thường là nơi sự cố thật nằm.