Şifrələmə tək başına təkrar göndərilən paketi niyə dayandırmır

Qorunan paketlər kriptoqrafik olaraq bitmir, ona görə beş dəqiqə əvvəl etibarlı olan paket indi də etibarlıdır, çünki şifrələmə və bütövlük qoruması baytların nə vaxt yaradıldığı barədə heç nə demir. Trafiki tutub yenidən göndərə bilən hücumçu şifri qırmağa ehtiyac duymur. Buna görə hər ciddi tunel protokolu açarları ilə yanaşı ardıcıllıq vəziyyəti daşıyır.

Mexanizm kiçikdir və onun uğursuzluq rejimlərini paket itkisi ilə qarışdırmaq asandır.

Etibarlı şifrmətn təzə şifrmətn deyil

Autentifikasiya bir suala cavab verir: bu baytlar açara sahib olan şəxsdən dəyişdirilmədən gəlibmi. Bu, qəbuledicinin onları ilk dəfə görüb-görmədiyi sualına cavab vermir. Təkrar göndərilən paket birinci testi mükəmməl keçir, buna görə də yalnız bütövlük yoxlaması təkrarı dayandıra bilməz və protokolun qəbul barədə ikinci qaydaya ehtiyacı var. Yalnız autentifikasiya edən qəbuledicinin yazıya malik hücumçuya qarşı müdafiəsi yoxdur.

Bu qaydanın həyata keçirilməsi də, ifadəsi də ucuzdur: verilmiş qorunan paketi verilmiş açar altında bir dəfə qəbul et. Bu sahədə qalan hər şey tətbiqin həmin bir dəfəni necə izləməsindən irəli gəlir.

Təkrar göndərmə ləğvini şifrə açma xətası kimi oxumaq sizi tamamilə yanlış alt sistemə yönəldir.

Ardıcıllıq nömrəsi və pəncərə

IPsec ESP ardıcıllıq nömrəsi daşıyır və qəbuledici son qəbul edilmiş dəyərlərin sürüşən pəncərəsini saxlayır; ESP spesifikasiyası standart pəncərə ölçüsünü və onu genişləndirmə seçimini təsvir edir. WireGuard hər açar üçün sayğac və ona qarşı açıq yoxlama ilə fərqli yol tutur. Heç bir dizayn paketlərin sıra ilə gəldiyini güman etmir, çünki real şəbəkələr onları yenidən sıralayır. Hər ikisi yenidən sıralamaya dözür, heç biri təkrara dözmür.

Pəncərə məhz bu dözümlülüyü mümkün edir. Görülən ən yüksək dəyərdən bir az geridə olan paket, əvvəllər qəbul edilməyibsə, hələ də qəbul oluna bilər; çox geridə olan və ya yeri artıq işarələnmiş paket atılır. Pəncərəni böyütsəniz, birgəlik başına daha çox vəziyyət hesabına daha çox yenidən sıralamaya dözürsünüz.

Diaqnostik sayğaclar hansı vəziyyətdə olduğunuzu göstərir. Təkrar buraxmaları ümumi xəta deyil, xüsusi sayğacı artırır və həmin sayğacı oxumaq ilk faydalı müşahidədir.

nstat -az | grep -i XfrmIn
ip -s xfrm state | head -n 30
wg show wg0 transfer

Vəziyyət açara aiddir, hosta deyil

Sayğac vəziyyəti təhlükəsizlik birgəliyinə və ya açar dövrünə bağlıdır, ona görə açar yenilənməsi təzə kontekst və öz ardıcıllıq fəzasını yaradır. Açarı dəyişmədən sayğacı sıfırlamaq və ya əl ilə sıfırlamadan sonra birgəliyi yenidən istifadə etmək qəbuledicinin pəncərəsinin asılı olduğu fərziyyəni pozur. Buna görə operatorun gördüyü sıfırlama düyməsi əvəzinə protokol idarəli açar yenilənməsi mövcuddur.

Əl müdaxiləsindən sonra tunel düzgün işləmirsə, müdaxilənin ardıcıllıq vəziyyətinə toxunub-toxunmadığını soruşun. Eyni görünən konfiqurasiya fərqli davrana bilər, çünki miras aldığı vəziyyət gözlədiyi vəziyyət deyil.

Nəyisə söndürməzdən əvvəl səbəbi diaqnoz et

İtki, yenidən sıralama, təkrarlanan trafik və tətbiq qüsuru hamısı yenidən göndərmə kimi üzə çıxır və onlardan yalnız biri təkrar problemi deyil. Səsi susdurmaq üçün yoxlamanı söndürmək etibar etdiyiniz xassəni aradan qaldırır və ilkin səbəbi tapmağı çətinləşdirir, çünki indi yenidən göndərmələrin heç bir izahı yoxdur.

Məhdud dəlil toplayın: birləşmə identifikatorları, ardıcıllıq nömrələri və sayğaclar, yüklər istisna olmaqla. Bu, dublikatı yenidən sıralanmış gəlişdən ayırmaq üçün kifayətdir və diaqnostik faylınızı istifadəçinin trafikinin surətinə çevirmir.

Yoxlamanın zəmanət vermədiyi şeylər

Təkrar qorunması bir protokolun daxilində paket emalının xassəsidir. Operatorun heç bir jurnal saxlamaması, saytın hesabı tanıya bilməməsi və ya sessiyanın anonim olması demək deyil. Bunlar ayrı sistemlər haqqında ayrı suallardır və güclü anti-təkrar dizaynı onların heç birinə cavab vermir.

Dəstəklənən parametrlərlə saxlanılan proqram təminatı istifadəçi üçün mövcud praktik nəzarətdir. Paketi protokol idarə edir; qalan hər şey əməliyyat qərarı olaraq qalır.