TCP-hertransmissies en IPsec-herspelingsverwerpe: lees elke laag

Drie verskillende gereedskapstukke rapporteer drie verskillende duplikate, en net een daarvan is ’n netwerkgebeurtenis waarop jy kan reageer. ’n TCP-hertransmissie is ’n sender wat ’n reeks weer stuur, ’n duplikaat-ACK is ’n ontvanger wat ’n bevestiging herhaal, en ’n ESP-herspelingsverwerping is ’n sekuriteitsassosiasie wat ’n volgnommer weier wat dit reeds aanvaar het. Nie een van die drie impliseer een van die ander nie. Lees elke teller op die laag wat dit produseer voordat jy hulle in ’n verhaal saamvoeg.

Drie tellers wat nooit dieselfde gebeurtenis meet nie

Die TCP-hertransmissie-annotasie beteken die sender het ’n volgreeks weer op die draad geplaas. Verlies is een rede daarvoor, en die opname wat jy het, mag dalk net die oorspronklike pakkie of die bevestiging mis wat die tydsberekening sou verduidelik. ’n Duplikaat-ACK is die ontvanger wat ’n kumulatiewe bevestiging onder TCP-herstelreëls herhaal, wat nóg ’n duplikaat-toepassingskryf nóg ’n tweede kopie van die data is.

ESP werk in sy eie volgnommerruimte. Elke sekuriteitsassosiasie nommer die pakkies wat dit stuur, en die ontvanger hou ’n venster van nommers wat dit reeds aanvaar het, so ’n ESP-pakkie wat twee keer aankom, word op grond van daardie reëls alleen verwerp. ’n Hertransmitteerde TCP-segment reis dus in ’n nuwe ESP-pakkie met ’n nuwe volgnommer, wat op beide lae korrekte gedrag is. Dieselfde grepe kan in een teller nuut lyk en in ’n ander oud, en nie een laag lieg nie.

Wat die analiseerder kan sien en nie kan sien nie

Begin met die analiseerder se woordeskat, want die filtername beskryf waarnemings eerder as die interne werking van die eindpunt. Om met dieselfde name as die gereedskap te tel, hou jou eerlik oor wat werklik gemeet is. ’n Telling uit ’n onvolledige opname is ’n telling van wat oorleef het, nie van wat op die draad gebeur het nie.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Lees die deskundige inligting langs daardie syfers, want waarskuwings oor kontrolesom en ordening verander hoeveel gewig hulle verdien. ’n Saamgevoegde spoor van twee sensors kan een raam twee keer wys, en om beide kopieë te tel, versin ’n herstelgebeurtenis wat nooit gebeur het nie.

ESP-tellers woon in die kerneltoestand

ESP-volgnommers behoort aan die sekuriteitsassosiasie, nie aan die TCP-stroom nie, so die poort is die plek om te vra. Die toestandlys rapporteer pakkie- en fouttellers per SA wat geen opname kan herkonstrueer nie.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 definieer die volgnommer en die anti-herspelingsvenster wat dit verbruik, wat is waarom die teller styg selfs wanneer niks verkeerd is nie. Monotone buitenste volgnommers sonder ’n ooreenstemmende TCP-anomalie dui op ’n ander sender of ’n gedupliseerde pad eerder as op ’n hertransmissiestorm. ’n Buitenste opname van ’n geënkripteerde tonnel verberg gewoonlik die binneste TCP-volgnommers, so dit kan nie bewys wat die binneste stapel gedoen het nie. Neem net binne die tonnel op waar beleid dit toelaat, en moet nooit anti-herspeling afskakel om ’n onverwante waarskuwing stil te maak nie.

Waar die uitkykpunt die antwoord verander

Voordat jy eskaleer, skryf neer hoe die opname geneem is: die koppelvlak, of die opnameproses druppels gerapporteer het, en of die tydstempels oor sensors vergelykbaar is. Een uitkykpunt kan nie beide punte van ’n pad sien nie, so enige stelling oor die ontvanger se gedrag is ’n afleiding eerder as ’n meting. ’n Spoor wat op die poort geneem is en ’n spoor wat op die gasheer geneem is, sal onder las oor ordening verskil, en daardie verskil hoort gewoonlik by die opname eerder as by die tonnel. Om twee sienings te korreleer, is wat ’n telling in bewyse omskep.

Gebruik een toegelate toepassingsvloei en teken die eindpunt-tellers langs die opname-tellings op dieselfde oomblik aan. As die syfers verskil, vertrou die laag wat die gebeurtenis besit en behandel die ander as ’n waarnemingsartefak tot die teendeel bewys word. Daardie reël besleg die meeste van hierdie tickets sonder om die tonnelkonfigurasie aan te raak.

Om die syfers in die regte volgorde te lees

Begin by die laag waar die vraag gevra is: ’n TCP-waarskuwing word uit ’n TCP-opname beantwoord, en ’n ESP-verwerping word uit die sekuriteitsassosiasie-tellers op die poort beantwoord. Vra eers daarna of die twee sienings dieselfde pakkie beskryf. ’n Gevolgtrekking wat beide lae nodig het, moet albei noem, want ’n bewering oor die tonnel wat net op ’n TCP-annotasie rus, is ’n raaiskoot.

Teken die laag, die teller en die uitkykpunt vir elke bevinding aan, en die volgende leser sal nie drie gebeurtenisse in een denkbeeldige fout saamsmelt nie. Eskaleer met daardie drie velde en die oplossing volg gewoonlik uit die eerste een.