TCP təkrar göndərmələri və IPsec təkrar oynatma itkisi: hər qatı oxuyun

Üç fərqli alət üç fərqli dublikat bildirir və onlardan yalnız biri üzərində hərəkət edə biləcəyiniz şəbəkə hadisəsidir. TCP təkrar göndərməsi göndərənin bir aralığı yenidən göndərməsidir, dublikat ACK qəbul edənin təsdiqi təkrarlamasıdır, ESP təkrar oynatma itkisi isə təhlükəsizlik assosiasiyasının artıq qəbul etdiyi ardıcıllıq nömrəsini rədd etməsidir. Üçündən heç biri digərlərini nəzərdə tutmur. Onları bir hekayədə birləşdirməzdən əvvəl hər sayğacı onu yaradan qatda oxuyun.

Heç vaxt eyni hadisəni ölçməyən üç sayğac

TCP təkrar göndərmə işarəsi göndərənin ardıcıllıq aralığını yenidən naqilə qoyduğunu bildirir. Bunun bir səbəbi itkidir və əlinizdəki tutma sadəcə orijinal paketi və ya vaxtı izah edəcək təsdiqi buraxmış ola bilər. Dublikat ACK qəbul edənin TCP bərpa qaydaları çərçivəsində kumulyativ təsdiqi təkrarlamasıdır və bu nə dublikat tətbiq yazısı, nə də məlumatın ikinci nüsxəsidir.

ESP öz ardıcıllıq məkanında işləyir. Hər təhlükəsizlik assosiasiyası göndərdiyi paketləri nömrələyir və qəbul edən artıq qəbul etdiyi nömrələrdən ibarət pəncərə saxlayır, buna görə iki dəfə gələn ESP paketi yalnız bu qaydalara əsasən atılır. Buna görə təkrar göndərilən TCP seqmenti təzə ardıcıllıq nömrəsi olan təzə ESP paketində gedir və bu, hər iki qatda düzgün davranışdır. Eyni baytlar bir sayğacda yeni, digərində köhnə görünə bilər və heç bir qat yalan demir.

Analizatorun görə bildikləri və görə bilmədikləri

Analizator lüğəti ilə başlayın, çünki filtr adları son nöqtələrin daxili işlərini deyil, müşahidələri təsvir edir. Alətin istifadə etdiyi adlarla saymaq sizi həqiqətən nəyin ölçüldüyü barədə dürüst saxlayır. Natamam tutmadan alınan say nəyin baş verdiyinin deyil, nəyin sağ qaldığının sayıdır.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Həmin rəqəmlərin yanındakı ekspert məlumatını oxuyun, çünki yoxlama cəmi və sıralama xəbərdarlıqları onların nə qədər çəkiyə layiq olduğunu dəyişir. İki sensordan birləşdirilmiş iz bir çərçivəni iki dəfə göstərə bilər və hər iki nüsxəni saymaq heç vaxt baş verməmiş bərpa hadisəsi uydurur.

ESP sayğacları nüvə vəziyyətində yaşayır

ESP ardıcıllıq nömrələri TCP axınına deyil, təhlükəsizlik assosiasiyasına aiddir, ona görə soruşulacaq yer şlüzdür. Vəziyyət siyahısı heç bir tutmanın bərpa edə bilməyəcəyi hər assosiasiya üzrə paket və xəta sayğaclarını göstərir.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 ardıcıllıq nömrəsini və onu istehlak edən təkrar oynatma əleyhinə pəncərəni təyin edir, buna görə heç bir şey səhv olmadıqda belə sayğac artır. Uyğun TCP anomaliyası olmayan monoton xarici ardıcıllıq nömrələri təkrar göndərmə fırtınasına deyil, fərqli göndərənə və ya təkrarlanmış yola işarə edir. Şifrələnmiş tunelin xarici tutması adətən daxili TCP ardıcıllıq nömrələrini gizlədir, ona görə daxili yığının nə etdiyini sübut edə bilməz. Tunelin içində yalnız siyasət icazə verdikdə tutun və əlaqəsiz xəbərdarlığı susdurmaq üçün heç vaxt təkrar oynatma əleyhinə qorumanı söndürməyin.

Müşahidə nöqtəsi cavabı harada dəyişir

Eskalasiya etməzdən əvvəl tutmanın necə alındığını yazın: interfeys, tutma prosesinin itki bildirib-bildirmədiyi və zaman damğalarının sensorlar arasında müqayisə oluna bilib-bilmədiyi. Bir müşahidə nöqtəsi yolun hər iki ucunu görə bilməz, ona görə qəbul edənin davranışı haqqında hər hansı ifadə ölçmə deyil, çıxarışdır. Şlüzdə alınan izlə hostda alınan iz yük altında sıralama barədə ziddiyyət təşkil edəcək və bu ziddiyyət adətən tunelə deyil, tutmaya aid olur. İki baxışı uzlaşdırmaq sayı sübuta çevirən şeydir.

İcazə verilmiş bir tətbiq axını istifadə edin və son nöqtə sayğaclarını həmin anda tutma saylarının yanında qeyd edin. Rəqəmlər ziddiyyət təşkil edirsə, hadisəyə sahib olan qata güvənin və digərini əksi sübut olunana qədər müşahidə artefaktı sayın. Bu qayda bu biletlərin çoxunu tunel konfiqurasiyasına toxunmadan həll edir.

Rəqəmləri düzgün ardıcıllıqla oxumaq

Sualın verildiyi qatdan başlayın: TCP xəbərdarlığına TCP tutmasından cavab verilir, ESP itkisinə isə şlüzdəki təhlükəsizlik assosiasiyası sayğaclarından cavab verilir. Yalnız bundan sonra iki baxışın eyni paketi təsvir edib-etmədiyini soruşun. Hər iki qatı tələb edən nəticə hər ikisini adlandırmalıdır, çünki tunel haqqında yalnız TCP işarəsinə dayanan iddia təxmindir.

Hər tapıntı üçün qatı, sayğacı və müşahidə nöqtəsini qeyd edin, sonrakı oxucu üç hadisəni bir xəyali nasazlıqda birləşdirməyəcək. Bu üç sahə ilə eskalasiya edin və düzəliş adətən birincisindən çıxır.