Reenviaments TCP enfront de descarts de repetició IPsec: llegiu cada capa

Tres eines diferents informen de tres duplicats diferents, i només un d’ells és un esdeveniment de xarxa sobre el qual podeu actuar. Un reenviament TCP és un emissor que torna a enviar un interval, un ACK duplicat és un receptor que repeteix una confirmació, i un descart de repetició ESP és una associació de seguretat que rebutja un número de seqüència que ja ha acceptat. Cap dels tres no implica cap dels altres. Llegiu cada comptador a la capa que el produeix abans d’ajuntar-los en una història.

Tres comptadors que no mesuren mai el mateix esdeveniment

L’anotació de reenviament TCP significa que l’emissor ha tornat a posar un interval de seqüència al fil. La pèrdua és una de les raons d’això, i la captura que teniu potser simplement no té el paquet original o la confirmació que explicaria el moment. Un ACK duplicat és el receptor que repeteix una confirmació acumulativa segons les regles de recuperació de TCP, cosa que no és ni una escriptura duplicada de l’aplicació ni una segona còpia de les dades.

ESP treballa en el seu propi espai de seqüència. Cada associació de seguretat numera els paquets que envia, i el receptor manté una finestra de números que ja ha acceptat, de manera que un paquet ESP que arriba dues vegades es descarta només per aquestes regles. Per tant, un segment TCP reenviat viatja en un paquet ESP nou amb un número de seqüència nou, cosa que és el comportament correcte a les dues capes. Els mateixos bytes poden semblar nous en un comptador i vells en un altre, i cap de les dues capes no menteix.

Què pot veure l’analitzador i què no

Comenceu pel vocabulari de l’analitzador, perquè els noms dels filtres descriuen observacions i no interiors dels extrems. Comptar amb els mateixos noms que fa servir l’eina us manté honestos sobre què s’ha mesurat realment. Un recompte d’una captura incompleta és un recompte del que ha sobreviscut, no del que ha passat al fil.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Llegiu la informació experta al costat d’aquests números, perquè els avisos de suma de verificació i d’ordenació canvien el pes que mereixen. Un rastre fusionat de dos sensors pot mostrar una trama dues vegades, i comptar les dues còpies inventa un esdeveniment de recuperació que no va passar mai.

Els comptadors ESP viuen a l’estat del nucli

Els números de seqüència ESP pertanyen a l’associació de seguretat, no al flux TCP, així que la passarel·la és el lloc on cal preguntar. El llistat d’estat informa de comptadors de paquets i errors per associació que cap captura no pot reconstruir.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 defineix el número de seqüència i la finestra antirepetició que el consumeix, i per això el comptador puja fins i tot quan no hi ha res malament. Els números de seqüència externs monòtons sense cap anomalia TCP corresponent apunten a un altre emissor o a un camí duplicat més que no pas a una tempesta de reenviaments. Una captura externa d’un túnel xifrat normalment amaga els números de seqüència TCP interns, així que no pot demostrar què va fer la pila interna. Captureu dins del túnel només on la política ho permeti, i no desactiveu mai l’antirepetició per silenciar un avís no relacionat.

On el punt d’observació canvia la resposta

Abans d’escalar, anoteu com es va fer la captura: la interfície, si el procés de captura va informar de pèrdues i si les marques de temps són comparables entre sensors. Un sol punt d’observació no pot veure els dos extrems d’un camí, així que qualsevol afirmació sobre el comportament del receptor és una inferència i no una mesura. Un rastre pres a la passarel·la i un rastre pres a l’amfitrió no coincidiran sobre l’ordenació sota càrrega, i aquest desacord normalment pertany a la captura i no al túnel. Correlacionar dues vistes és el que converteix un recompte en evidència.

Feu servir un flux d’aplicació permès i anoteu els comptadors dels extrems al costat dels recomptes de la captura en el mateix moment. Si els números no coincideixen, confieu en la capa que posseeix l’esdeveniment i tracteu l’altra com un artefacte d’observació fins que es demostri el contrari. Aquesta regla resol la majoria d’aquests tiquets sense tocar la configuració del túnel.

Llegir els números en l’ordre correcte

Comenceu per la capa on es va fer la pregunta: un avís TCP es respon amb una captura TCP, i un descart ESP es respon amb els comptadors de l’associació de seguretat a la passarel·la. Només llavors pregunteu si les dues vistes descriuen el mateix paquet. Una conclusió que necessita les dues capes hauria de nomenar-les totes dues, perquè una afirmació sobre el túnel basada només en una anotació TCP és una conjectura.

Anoteu la capa, el comptador i el punt d’observació per a cada troballa, i el següent lector no fusionarà tres esdeveniments en una fallada imaginària. Escaleu amb aquests tres camps i la correcció normalment surt del primer.