+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Packet sniffer - где он подслушивает?

Packet sniffer - где он подслушивает?, RouterOS

szymonzdziabek

Guest

25.03.2020 11:17:00

Здравствуйте, документация по потоку пакетов (https://wiki.mikrotik.com/wiki/Manual:Packet_Flow) — это, наверное, самая посещаемая мной страница на MikroTik Wiki. Вопрос в том, где на диаграмме мы должны разместить такие инструменты, как Packet sniffer и Ping? Почему я спрашиваю? Мне нужно проанализировать трафик IPsec. С роутера A я отправил ICMP-пакеты на хост за роутером B (с адресом происхождения пакета, установленным как локальный адрес роутера A). Роутеры соединены через VPN IPSec туннель. Смотря на лог из Packet sniffer, я вижу ESP-трафик в обоих направлениях, а также ICMP-ответы с локального адреса запрашиваемого хоста за роутером B (то есть после декapsulation), но я не вижу никаких ICMP-запросов с локальным адресом роутера A. Почему так?

Amm0

Guest

14.09.2023 01:40:00

Я бы сказал, что ping запускает "Процессы маршрутизатора" LOCAL OUT, так что, вероятно, он успевает уйти, прежде чем анализатор увидит его в незашифрованном виде. На маршрутизаторе B он "перенаправляется", а не является локальным процессом, как на маршрутизаторе A — так что он увидит ответ до инкапсуляции.

pe1chl Guest	#3 0 14.09.2023 06:35:00 Когда вы настраиваете обычные политики туннелей IPsec, вы накликаете на себя такие проблемы...

Hammy Guest	#4 0 13.09.2023 22:05:00 bump

Larsa

Guest

14.09.2023 07:33:00

Если эта тема касается только лучших практик использования Packet Sniffer для трафика IPsec, тогда этот ответ неуместен. Обычный IPsec, как правило, не создает значительных проблем. Если ваш IPsec-напарник активен (то есть установлено SA для каждого IP), это обычно связано с проблемами маршрутизации, такими как забывание установить 'src-nat=accept' для соответствующих подсетей или несоответствие политики IPsec подсетям. В этой связи, я думаю, что 'VTI' значительно упростит управление маршрутизацией IPsec...

pe1chl

Guest

14.09.2023 08:49:00

Да, но с интерфейсами IPsec туннелей всегда неясно, где проводить прослушивание. На обычной системе Linux проблема точно такая же, потому что открытый и зашифрованный трафик назначаются одному и тому же интерфейсу. Действительно, с VTI было бы лучше, но у MikroTik VTI нет. Вместо этого можно использовать зашифрованный IPIP или GRE туннель, и эта проблема будет решена (как и многие другие проблемы).

msatter Guest	#7 0 14.09.2023 09:17:00 Если хотите быть точными, где и что отслеживать, то лучше используйте сниффер в Mangle. При пинге с локального устройства через WireGuard этот трафик проходит через сниффер Output дважды. Сначала он выходит как ping, а затем шифруется и становится неузнаваемым как ping. /ip firewall mangle add action=sniff-tzsp chain=output comment="Sniffer - ping" protocol=icmp sniff-target=192.168.88.100 sniff-target-port=37008 Отправляет его в WireShark, который слушает IP-адрес 192.168.88.100:37008 UDP, где вы можете его проанализировать или сохранить в файл.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры