NEW conntrack ar becyn ACK: beth nad yw’n ei brofi

Yn log y mur gwarchod mae un llinell na wnaethoch ei disgwyl: pecyn ACK, cyflwr conntrack NEW, cyfeiriad ffynhonnell nad yw’n eiddo i chi, porth cyrchfan ar agor. Y temtasiwn yw ei ddarllen fel cysylltiad sy’n dod i mewn yn newydd na chafodd neb ei awdurdodi. Yr hyn y mae’r llinell yn ei ddweud mewn gwirionedd yw peth culach: pan gyrhaeddodd y pecyn hwnnw’r bachyn hwn, nid oedd gan y traciwr unrhyw gyflwr cyfatebol, ac roedd y pecyn yn cario ACK. Dau ffaith am ddau beth gwahanol yw’r rhain, ac nid yw’r naill na’r llall yn drawsgrifiad llaw gyfan. Dyma’r drefn yr wyf yn ei dilyn cyn dod i gasgliad.

Dechreuwch gyda’r pecyn, nid y dyfarniad

Gwahanwch yr arsylwadau cyn eu dehongli. Mae fflagiau TCP yn disgrifio’r pecyn hwn, mae cyflwr y traciwr yn disgrifio’r hyn a wyddai yn y bachyn hwnnw, ac mae eich cipiad yn disgrifio dim ond y ffenestr a recordiwyd gennych.

Cymysgu’r tri hynny yw’r ffordd y mae ACK yn troi yn “gadawodd y darparwr rywun i mewn”.

Beth mae NEW yn ei olygu mewn gwirionedd yn y bachyn

Mae’r cyfatebiaeth conntrack iptables yn dogfennu NEW fel pecyn sy’n dechrau cysylltiad, neu un sy’n gysylltiedig â chysylltiad nad yw eto wedi gweld traffig yn y ddau gyfeiriad. Mae ESTABLISHED yn golygu bod y traciwr wedi gweld pecynnau’r ddwy ffordd. Nid yw’r naill ddiffiniad na’r llall yn dweud mai SYN oedd y pecyn, nac yn dweud iddo gyrraedd heb hanes.

Mae traciwr sy’n dechrau arsylwi llif yn ei ganol yn dosbarthu’r pecyn nesaf yn ôl yr hyn a ŵyr, a gall hynny fod yn ddim. Mae hynny’n ddatganiad am gof y traciwr, nid am fwriad y gwesteiwr pell.

Mae tracio llac yn esbonio’r rhan fwyaf o syndromau ACK

Mae’r cnewyllyn yn dogfennu nf_conntrack_tcp_loose, sy’n gadael i’r traciwr godi cysylltiadau TCP na welodd eu dechrau. Gyda’r gosodiad ar ei ddiofyn, gellir mabwysiadu ACK o ganol llif fel llif sefydledig. Trowch ef i ffwrdd a bydd yr un pecyn yn fwy tebygol o gael ei ddosbarthu fel INVALID yn lle NEW. Mae’r ddau ganlyniad yn disgrifio rheolau’r traciwr, nid hanes y rhaglen.

Felly gwiriwch y gosodiad hwnnw cyn adeiladu theori ar y label.

Diarddelwch yr achosion diflas yn y drefn hon

Daeth y rhan fwyaf o’r digwyddiadau NEW-ar-ACK yr wyf wedi’u hela i ben gydag un o’r rhain, ac mae pob un ohonynt yn rhad i’w wirio:

• Cafodd y tabl conntrack ei fflysio, neu ailgychwynnwyd y traciwr.
• Ailgychwynnwyd y gwesteiwr, neu symudodd y llif i namespace neu ddyfais arall.
• Anfonodd llwybro anghymesur y SYN allan ar lwybr nad ydych yn ei gipio.
• Ailysgrifennodd NAT y tuple, felly nid yw’r cofnod yn cyfateb i’r hyn a ddarllenasoch mwyach.
• Dechreuodd y cipiad yn hwyr ac ni welodd y dechrau erioed.

Mae pob un o’r rhain yn tynnu’r pecynnau cynharach o olwg y traciwr gan adael y rhai diweddarach yn gyfan. Ailgychwyn neu fflysio tabl yw’r peth hawddaf i’w gadarnhau o uptime a logiau. Mae llwybro anghymesur yn ymddangos fel cipiad un ffordd. NAT yw’r un llechwraidd, oherwydd nid y tuple a storiodd y traciwr yw’r tuple a argraffwyd yn y log.

Nodwch pa rai o’r rhain a ddiarddelwyd gennych, a sut, cyn symud ymlaen.

Darllenwch y tuple, y rhyngwyneb a’r bachyn

Mae cofnod conntrack wedi’i allweddu gan gyfeiriadau, porthladdoedd a phrotocol, felly mae unrhyw gyfieithiad yn newid pa gofnod sy’n cyfateb. Cofnodwch y rhyngwyneb a’r bachyn hefyd, oherwydd mae pecyn a welir ar y rhyngwyneb anghywir neu ar ôl cadwyn wahanol yn dweud wrthych nad yw’r llwybr fel y mae’r diagram yn ei ddweud. Pan fo’r digwyddiad yn ymwneud â VPN, penderfynwch a ydych yn edrych ar y pecyn mewnol neu’r cludydd allanol. Yna cymharwch â’r hyn a logiodd y porth ar gyfer yr un tuple pum rhan.

Mae dau olygfa o un llif sy’n anghytuno yn fwy defnyddiol na’r naill na’r llall ar ei phen ei hun.

Pryd mae’n werth uwchgyfeirio

Uwchgyfeiriwch pan allwch ddangos gwasanaeth sy’n gyrraeddadwy ac na ddylai fod, gyda’r llif, y polisi a ganiataodd hynny, a thystiolaeth o’r ddau ben. Peidiwch ag adrodd diffyg darparwr ar sail un label cyflwr neu un cipiad rhannol, oherwydd bydd yr adroddiad hwnnw’n cael ei gau gyda’r esboniad a ddarllenasoch newydd. Os yw’r gwasanaeth wir yn agored, perchennog y ffin honno yw’r person iawn i’w drwsio, ac mae mapio porthladd dirprwyedig neu wrandawr anfwriadol yn achos mwy tebygol na nam.

Yna cau’r bwlch gwelededd a adawodd i un pecyn edrych fel sesiwn gyfan.