Ailanwyr TCP yn erbyn gollyngiadau ailchwarae IPsec: darllenwch bob haen

Mae tri offeryn gwahanol yn adrodd tri dyblyg gwahanol, a dim ond un ohonynt yw digwyddiad rhwydwaith y gallwch weithredu arno. Ailanfon TCP yw anfonwr sy’n ail-anfon ystod, ACK dyblyg yw derbynnydd sy’n ailadrodd cydnabyddiaeth, a gollyngiad ailchwarae ESP yw cymdeithas diogelwch sy’n gwrthod rhif dilyniant y mae eisoes wedi’i dderbyn. Nid oes yr un o’r tri yn awgrymu’r lleill. Darllenwch bob cyfrif yn yr haen sy’n ei gynhyrchu cyn eu huno’n un stori.

Tri chyfrif nad ydynt byth yn mesur yr un digwyddiad

Mae’r anodiad ailanfon TCP yn golygu bod yr anfonwr wedi rhoi ystod dilyniant ar y wifren eto. Colled yw un rheswm dros hyn, ac efallai bod y casgliad sydd gennych yn syml yn colli’r pecyn gwreiddiol neu’r gydnabyddiaeth a fyddai’n esbonio’r amseriad. ACK dyblyg yw’r derbynnydd yn ailadrodd cydnabyddiaeth gronol o dan reolau adfer TCP, nad yw na’n ysgrifiad cais dyblyg nac yn ail gopi o’r data.

Mae ESP yn gweithio yn ei ofod dilyniant ei hun. Mae pob cymdeithas diogelwch yn rhifo’r pecynnau y mae’n eu hanfon, ac mae’r derbynnydd yn cadw ffenestr o rifau y mae eisoes wedi’u derbyn, felly mae pecyn ESP sy’n cyrraedd ddwywaith yn cael ei ollwng ar y sail honno’n unig. Felly mae segment TCP a ailanfonwyd yn teithio mewn pecyn ESP newydd gyda rhif dilyniant newydd, sy’n ymddygiad cywir ar y ddwy haen. Gall yr un beitiau edrych yn newydd mewn un cyfrif ac yn hen mewn un arall, ac nid yw’r naill haen na’r llall yn dweud celwydd.

Beth all y dadansoddwr ei weld a beth na all

Dechreuwch gyda geirfa’r dadansoddwr, oherwydd mae enwau’r hidlwyr yn disgrifio arsylwadau yn hytrach na mewnol y pwyntiau terfyn. Mae cyfrif gyda’r un enwau ag y mae’r offeryn yn eu defnyddio yn eich cadw’n onest ynghylch yr hyn a fesurwyd mewn gwirionedd. Cyfrif o gasgliad anghyflawn yw cyfrif yr hyn a oroesodd, nid yr hyn a ddigwyddodd ar y wifren.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Darllenwch y wybodaeth arbenigol wrth ymyl y rhifau hynny, oherwydd mae rhybuddion swm gwirio a threfnu yn newid faint o bwysau y maent yn ei haeddu. Gall olion cyfun o ddau synhwyrydd ddangos un ffrâm ddwywaith, ac mae cyfrif y ddau gopi yn dyfeisio digwyddiad adfer na ddigwyddodd erioed.

Mae cyfrifon ESP yn byw yng nghyflwr y cnewyllyn

Mae rhifau dilyniant ESP yn perthyn i’r gymdeithas ddiogelwch, nid i ffrwd TCP, felly’r porth yw’r lle i ofyn. Mae’r rhestr gyflwr yn adrodd cyfrifon pecynnau a gwallau fesul cymdeithas na all unrhyw gasgliad eu hailadeiladu.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 sy’n diffinio’r rhif dilyniant a’r ffenestr gwrth-ailchwarae sy’n ei defnyddio, a dyna pam mae’r cyfrif yn codi hyd yn oed pan nad oes dim o’i le. Mae rhifau dilyniant allanol monotonaidd heb anomaledd TCP cyfatebol yn cyfeirio at anfonwr gwahanol neu lwybr dyblyg yn hytrach nag at storm ailanfon. Mae casgliad allanol o dwnnel wedi’i amgryptio fel arfer yn cuddio rhifau dilyniant TCP mewnol, felly ni all brofi beth a wnaeth y stac mewnol. Casglwch y tu mewn i’r twnnel dim ond lle mae polisi’n caniatáu, ac na throwch oddi ar wrth-ailchwarae fyth i dawelu rhybudd diofus.

Lle mae’r fan gwylio yn newid yr ateb

Cyn esgyn, nodwch sut y cymerwyd y casgliad: y rhyngwyneb, a adroddodd y broses gasglu golledion, ac a yw’r stampiau amser yn gymharol ar draws synwyryddion. Ni all un fan gwylio weld dau ben llwybr, felly mae unrhyw ddatganiad am ymddygiad y derbynnydd yn gasgliad yn hytrach na mesuriad. Bydd olion a gymerwyd ar y porth ac olion a gymerwyd ar y gwesteiwr yn anghytuno am drefnu o dan lwyth, ac mae’r anghytundeb hwnnw fel arfer yn perthyn i’r casgliad yn hytrach na’r twnnel. Cydberthyn dau ddarlun yw’r hyn sy’n troi cyfrif yn dystiolaeth.

Defnyddiwch un ffrwd cais a ganiateir a chofnodwch gyfrifon y pwyntiau terfyn wrth ymyl cyfrifon y casgliad ar yr un pryd. Os yw’r rhifau’n anghytuno, ymddiriedwch yn yr haen sy’n berchen ar y digwyddiad a thriniwch y llall fel arteffact arsylwi nes profir fel arall. Mae’r rheol honno yn setlo’r rhan fwyaf o’r tocynnau hyn heb gyffwrdd â chyfluniad y twnnel.

Darllen y rhifau yn y drefn iawn

Dechreuwch yn yr haen lle gofynnwyd y cwestiwn: atebir rhybudd TCP o gasgliad TCP, ac atebir gollyngiad ESP o gyfrifon y gymdeithas ddiogelwch ar y porth. Dim ond wedyn gofynnwch a yw’r ddau ddarlun yn disgrifio’r un pecyn. Dylai casgliad sy’n gofyn am y ddwy haen enwi’r ddwy, oherwydd mae honiad am y twnnel yn seiliedig ar anodiad TCP yn unig yn ddyfaliad.

Cofnodwch yr haen, y cyfrif a’r fan gwylio ar gyfer pob darganfyddiad, ac ni fydd y darllenydd nesaf yn uno tri digwyddiad yn un nam dychmygol. Esgynwch gyda’r tri maes hynny ac mae’r cywiriad fel arfer yn dilyn o’r cyntaf.