Αναμεταδόσεις TCP έναντι απορρίψεων επανάληψης IPsec: διαβάστε κάθε επίπεδο

Τρία διαφορετικά εργαλεία αναφέρουν τρία διαφορετικά διπλότυπα, και μόνο ένα από αυτά είναι γεγονός δικτύου στο οποίο μπορείτε να ενεργήσετε. Μια αναμετάδοση TCP είναι ένας αποστολέας που ξαναστέλνει ένα εύρος, ένα διπλό ACK είναι ένας δέκτης που επαναλαμβάνει μια επιβεβαίωση, και μια απόρριψη επανάληψης ESP είναι μια σχέση ασφαλείας που αρνείται έναν αριθμό ακολουθίας που έχει ήδη δεχθεί. Κανένα από τα τρία δεν συνεπάγεται κάποιο από τα άλλα. Διαβάστε κάθε μετρητή στο επίπεδο που τον παράγει πριν τους ενώσετε σε μια ιστορία.

Τρεις μετρητές που δεν μετρούν ποτέ το ίδιο γεγονός

Η σήμανση αναμετάδοσης TCP σημαίνει ότι ο αποστολέας έβαλε ξανά ένα εύρος ακολουθίας στο καλώδιο. Η απώλεια είναι ένας λόγος για αυτό, και η καταγραφή που έχετε μπορεί απλώς να λείπει το αρχικό πακέτο ή η επιβεβαίωση που θα εξηγούσε τον χρόνο. Ένα διπλό ACK είναι ο δέκτης που επαναλαμβάνει μια αθροιστική επιβεβαίωση σύμφωνα με τους κανόνες ανάκτησης TCP, το οποίο δεν είναι ούτε διπλή εγγραφή εφαρμογής ούτε δεύτερο αντίγραφο των δεδομένων.

Το ESP λειτουργεί στον δικό του χώρο ακολουθίας. Κάθε σχέση ασφαλείας αριθμεί τα πακέτα που στέλνει, και ο δέκτης κρατά ένα παράθυρο αριθμών που έχει ήδη δεχθεί, οπότε ένα πακέτο ESP που φτάνει δύο φορές απορρίπτεται μόνο με αυτούς τους όρους. Επομένως ένα αναμεταδιδόμενο τμήμα TCP ταξιδεύει σε νέο πακέτο ESP με νέο αριθμό ακολουθίας, που είναι σωστή συμπεριφορά και στα δύο επίπεδα. Τα ίδια byte μπορούν να φαίνονται νέα σε έναν μετρητή και παλιά σε άλλον, και κανένα από τα δύο επίπεδα δεν λέει ψέματα.

Τι μπορεί και τι δεν μπορεί να δει ο αναλυτής

Ξεκινήστε από το λεξιλόγιο του αναλυτή, γιατί τα ονόματα των φίλτρων περιγράφουν παρατηρήσεις και όχι το εσωτερικό των άκρων. Η μέτρηση με τα ίδια ονόματα που χρησιμοποιεί το εργαλείο σάς κρατά ειλικρινείς για το τι μετρήθηκε πραγματικά. Ένα πλήθος από μια ελλιπή καταγραφή είναι πλήθος όσων επέζησαν, όχι όσων συνέβησαν στο καλώδιο.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Διαβάστε τις πληροφορίες ειδικών δίπλα σε αυτούς τους αριθμούς, γιατί οι προειδοποιήσεις αθροίσματος ελέγχου και σειράς αλλάζουν πόσο βάρος αξίζουν. Ένα συγχωνευμένο ίχνος από δύο αισθητήρες μπορεί να δείξει ένα πλαίσιο δύο φορές, και η μέτρηση και των δύο αντιγράφων επινοεί ένα γεγονός ανάκτησης που δεν συνέβη ποτέ.

Οι μετρητές ESP ζουν στην κατάσταση του πυρήνα

Οι αριθμοί ακολουθίας ESP ανήκουν στη σχέση ασφαλείας, όχι στη ροή TCP, άρα η πύλη είναι το μέρος για να ρωτήσετε. Η λίστα κατάστασης αναφέρει μετρητές πακέτων και σφαλμάτων ανά σχέση που καμία καταγραφή δεν μπορεί να ανακατασκευάσει.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 ορίζει τον αριθμό ακολουθίας και το παράθυρο κατά της επανάληψης που τον καταναλώνει, και για τον λόγο αυτό ο μετρητής αυξάνεται ακόμη και όταν δεν υπάρχει πρόβλημα. Μονότονοι εξωτερικοί αριθμοί ακολουθίας χωρίς αντίστοιχη ανωμαλία TCP δείχνουν άλλον αποστολέα ή διπλή διαδρομή αντί για καταιγίδα αναμεταδόσεων. Μια εξωτερική καταγραφή κρυπτογραφημένης σήραγγας συνήθως κρύβει τους εσωτερικούς αριθμούς ακολουθίας TCP, οπότε δεν μπορεί να αποδείξει τι έκανε το εσωτερικό στοίβαγμα. Καταγράψτε μέσα στη σήραγγα μόνο όπου το επιτρέπει η πολιτική, και μην απενεργοποιείτε ποτέ την προστασία κατά της επανάληψης για να σιγήσετε μια άσχετη προειδοποίηση.

Πού το σημείο παρατήρησης αλλάζει την απάντηση

Πριν κλιμακώσετε, γράψτε πώς ελήφθη η καταγραφή: η διεπαφή, αν η διαδικασία καταγραφής ανέφερε απώλειες και αν οι χρονικές σημάνσεις είναι συγκρίσιμες μεταξύ αισθητήρων. Ένα σημείο παρατήρησης δεν μπορεί να δει και τα δύο άκρα μιας διαδρομής, άρα κάθε δήλωση για τη συμπεριφορά του δέκτη είναι συμπέρασμα και όχι μέτρηση. Ένα ίχνος από την πύλη και ένα ίχνος από τον κεντρικό υπολογιστή θα διαφωνήσουν για τη σειρά υπό φόρτο, και αυτή η διαφωνία ανήκει συνήθως στην καταγραφή και όχι στη σήραγγα. Η συσχέτιση δύο όψεων είναι αυτό που μετατρέπει ένα πλήθος σε απόδειξη.

Χρησιμοποιήστε μία επιτρεπόμενη ροή εφαρμογής και καταγράψτε τους μετρητές των άκρων δίπλα στα πλήθη της καταγραφής την ίδια στιγμή. Αν οι αριθμοί διαφωνούν, εμπιστευθείτε το επίπεδο που κατέχει το γεγονός και θεωρήστε το άλλο τεχνούργημα παρατήρησης μέχρι να αποδειχθεί το αντίθετο. Αυτός ο κανόνας λύνει τα περισσότερα από αυτά τα περιστατικά χωρίς να αγγίξετε τη διαμόρφωση της σήραγγας.

Διαβάζοντας τους αριθμούς με τη σωστή σειρά

Ξεκινήστε από το επίπεδο όπου τέθηκε η ερώτηση: μια προειδοποίηση TCP απαντάται από μια καταγραφή TCP, και μια απόρριψη ESP απαντάται από τους μετρητές της σχέσης ασφαλείας στην πύλη. Μόνο τότε ρωτήστε αν οι δύο όψεις περιγράφουν το ίδιο πακέτο. Ένα συμπέρασμα που χρειάζεται και τα δύο επίπεδα πρέπει να κατονομάζει και τα δύο, γιατί ένας ισχυρισμός για τη σήραγγα που στηρίζεται μόνο σε σήμανση TCP είναι υπόθεση.

Καταγράψτε το επίπεδο, τον μετρητή και το σημείο παρατήρησης για κάθε εύρημα, και ο επόμενος αναγνώστης δεν θα συγχωνεύσει τρία γεγονότα σε ένα φανταστικό σφάλμα. Κλιμακώστε με αυτά τα τρία πεδία και η διόρθωση συνήθως προκύπτει από το πρώτο.