Повторни предавания на TCP срещу отхвърляния на повторения в IPsec: четете всеки слой

Три различни инструмента съобщават за три различни дубликата и само един от тях е мрежово събитие, върху което можете да действате. Повторното предаване на TCP е изпращач, който изпраща отново диапазон, дублираният ACK е получател, който повтаря потвърждение, а отхвърлянето на повторение на ESP е асоциация за сигурност, която отказва номер на последователност, който вече е приела. Нито едно от трите не предполага останалите. Четете всеки брояч на слоя, който го създава, преди да ги свържете в една история.

Три брояча, които никога не измерват едно и също събитие

Анотацията за повторно предаване на TCP означава, че изпращачът отново е поставил диапазон от последователност в мрежата. Загубата е една от причините за това, а записът, който имате, може просто да пропуска оригиналния пакет или потвърждението, което би обяснило времето. Дублираният ACK е получателят, който повтаря кумулативно потвърждение по правилата за възстановяване на TCP, което не е нито дублиран запис на приложението, нито второ копие на данните.

ESP работи в собствено пространство на последователност. Всяка асоциация за сигурност номерира пакетите, които изпраща, и получателят поддържа прозорец от номера, които вече е приел, така че ESP пакет, който пристигне два пъти, се изхвърля само на това основание. Затова повторно предаденият TCP сегмент пътува в нов ESP пакет с нов номер на последователност, което е правилно поведение на двата слоя. Едни и същи байтове могат да изглеждат нови в един брояч и стари в друг и нито един слой не лъже.

Какво анализаторът може и какво не може да види

Започнете с речника на анализатора, защото имената на филтрите описват наблюдения, а не вътрешности на крайните точки. Броенето със същите имена, които използва инструментът, ви държи честни относно това какво всъщност е измерено. Брой от непълен запис е брой на оцелялото, а не на случилото се в мрежата.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Четете експертната информация до тези числа, защото предупрежденията за контролна сума и подредба променят тежестта, която заслужават. Обединен запис от два сензора може да покаже една рамка два пъти и броенето на двете копия измисля събитие за възстановяване, което никога не се е случвало.

Броячите на ESP живеят в състоянието на ядрото

Номерата на последователност на ESP принадлежат на асоциацията за сигурност, а не на TCP потока, затова шлюзът е мястото, където да питате. Списъкът на състоянието отчита броячи на пакети и грешки за всяка асоциация, които никой запис не може да възстанови.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 дефинира номера на последователност и прозореца срещу повторение, който го консумира, поради което броячът расте дори когато нищо не е наред. Монотонни външни номера на последователност без съответна TCP аномалия сочат към друг изпращач или дублиран път, а не към буря от повторни предавания. Външен запис на криптиран тунел обикновено скрива вътрешните номера на последователност на TCP, така че не може да докаже какво е направил вътрешният стек. Правете запис вътре в тунела само където политиката позволява и никога не изключвайте защитата срещу повторение, за да заглушите несвързано предупреждение.

Къде точката на наблюдение променя отговора

Преди да ескалирате, запишете как е направен записът: интерфейсът, дали процесът на запис е съобщил за загуби и дали времевите марки са сравними между сензорите. Една точка на наблюдение не може да види двата края на път, така че всяко твърдение за поведението на получателя е извод, а не измерване. Запис, направен на шлюза, и запис, направен на хоста, ще се разминават относно подредбата при натоварване и това разминаване обикновено принадлежи на записа, а не на тунела. Свързването на два изгледа превръща броя в доказателство.

Използвайте един разрешен приложен поток и запишете броячите на крайните точки до броя от записа в същия момент. Ако числата се разминават, вярвайте на слоя, който притежава събитието, и третирайте другия като артефакт от наблюдението, докато не се докаже обратното. Това правило решава повечето от тези случаи, без да се пипа конфигурацията на тунела.

Четене на числата в правилния ред

Започнете от слоя, където е зададен въпросът: на TCP предупреждение се отговаря от TCP запис, а на ESP отхвърляне се отговаря от броячите на асоциацията за сигурност на шлюза. Едва тогава питайте дали двата изгледа описват един и същ пакет. Заключение, което се нуждае от двата слоя, трябва да назове и двата, защото твърдение за тунела, опряно само на TCP анотация, е догадка.

Записвайте слоя, брояча и точката на наблюдение за всяка находка и следващият читател няма да слее три събития в една въображаема повреда. Ескалирайте с тези три полета и поправката обикновено следва от първото.