TCP-resentoj kontraŭ IPsec-replay-malpermesoj: legu ĉiun tavolon

Tri malsamaj iloj raportas tri malsamajn duplikatojn, kaj nur unu el ili estas reta evento, pri kiu vi povas agi. TCP-resento estas sendanto, kiu denove sendas intervalon, duobla ACK estas ricevanto, kiu ripetas konfirmon, kaj ESP-replay-malpermeso estas sekureca asocio, kiu rifuzas sinsekvan numeron, kiun ĝi jam akceptis. Neniu el la tri implicas iun el la aliaj. Legu ĉiun nombrilon ĉe la tavolo, kiu produktas ĝin, antaŭ ol ligi ilin en unu rakonton.

Tri nombriloj, kiuj neniam mezuras la saman eventon

La TCP-resenta anotaĵo signifas, ke la sendanto denove metis sinsekvan intervalon sur la draton. Perdo estas unu kialo por tio, kaj la kaptaĵo, kiun vi havas, eble simple mankas la originalan paketon aŭ la konfirmon, kiu klarigus la tempigon. Duobla ACK estas la ricevanto ripetanta akumulan konfirmon laŭ la reguloj de TCP-riparo, kio estas nek duobla aplikaĵa skribo nek dua kopio de la datumoj.

ESP laboras en sia propra sinsekva spaco. Ĉiu sekureca asocio numeras la paketojn, kiujn ĝi sendas, kaj la ricevanto tenas fenestron de numeroj, kiujn ĝi jam akceptis, do ESP-paketo, kiu alvenas dufoje, estas forĵetata sole laŭ tiuj reguloj. Resendita TCP-segmento do vojaĝas en freŝa ESP-paketo kun freŝa sinsekva numero, kio estas ĝusta konduto ĉe ambaŭ tavoloj. La samaj bajtoj povas aspekti novaj en unu nombrilo kaj malnovaj en alia, kaj neniu el la du tavoloj mensogas.

Kion la analizilo povas vidi kaj kion ne

Komencu per la vortprovizo de la analizilo, ĉar la filtrilaj nomoj priskribas observojn, ne la internon de la finpunktoj. Nombri per la samaj nomoj, kiujn la ilo uzas, tenas vin honesta pri tio, kio efektive estis mezurita. Nombro el nekompleta kaptaĵo estas nombro de tio, kio postvivis, ne de tio, kio okazis sur la drato.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Legu la fakulan informon apud tiuj nombroj, ĉar avertoj pri kontrolsumo kaj ordo ŝanĝas, kiom da pezo ili meritas. Kunfandita spuro el du sensiloj povas montri unu kadron dufoje, kaj nombri ambaŭ kopiojn elpensas riparan eventon, kiu neniam okazis.

ESP-nombriloj vivas en la kernstato

ESP-sinsekvaj numeroj apartenas al la sekureca asocio, ne al la TCP-fluo, do la kluzo estas la loko, kie demandi. La statlisto raportas paketajn kaj erarajn nombrilojn por asocio, kiujn neniu kaptaĵo povas rekonstrui.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 difinas la sinsekvan numeron kaj la kontraŭreplay-fenestron, kiu konsumas ĝin, kaj tial la nombrilo kreskas eĉ kiam nenio maltrafas. Monotonaj eksteraj sinsekvaj numeroj sen konforma TCP-anomalio indikas alian sendanton aŭ duobligitan vojon anstataŭ resendan ŝtormon. Ekstera kaptaĵo de ĉifrita tunelo kutime kaŝas la internajn TCP-sinsekvajn numerojn, do ĝi ne povas pruvi, kion faris la interna stako. Kaptu interne de la tunelo nur tie, kie politiko permesas, kaj neniam malŝaltu kontraŭreplay-protektadon por silentigi nesreligitan averton.

Kie la observejo ŝanĝas la respondon

Antaŭ ol eskali, notu, kiel la kaptaĵo estis farita: la interfaco, ĉu la kapta procezo raportis perdojn, kaj ĉu la tempomarkoj estas kompareblaj inter sensiloj. Unu observejo ne povas vidi ambaŭ finojn de vojo, do ĉiu aserto pri la konduto de la ricevanto estas konkludo, ne mezurado. Spuro prenita ĉe la kluzo kaj spuro prenita ĉe la gastiganto malkonsentos pri ordo sub ŝarĝo, kaj tiu malkonsento kutime apartenas al la kaptaĵo, ne al la tunelo. Koreligi du vidpunktojn estas tio, kio igas nombron pruvo.

Uzu unu permesitan aplikaĵan fluon kaj notu la nombrilojn de la finpunktoj apud la nombroj de la kaptaĵo en la sama momento. Se la nombroj malkonsentas, fidu la tavolon, kiu posedas la eventon, kaj traktu la alian kiel observan artefakton ĝis la malo estos pruvita. Tiu regulo solvas plej multajn el tiuj kazoj sen tuŝi la agordon de la tunelo.

Legi la nombrojn en la ĝusta ordo

Komencu ĉe la tavolo, kie la demando estis farita: TCP-averton oni respondas el TCP-kaptaĵo, kaj ESP-malpermeson oni respondas el la nombriloj de la sekureca asocio ĉe la kluzo. Nur tiam demandu, ĉu la du vidpunktoj priskribas la saman paketon. Konkludo, kiu bezonas ambaŭ tavolojn, devus nomi ambaŭ, ĉar aserto pri la tunelo bazita nur sur TCP-anotaĵo estas konjekto.

Notu la tavolon, la nombrilon kaj la observejon por ĉiu trovo, kaj la sekva leganto ne kunfandos tri eventojn en unu imagitan difekton. Eskalu kun tiuj tri kampoj kaj la korekto kutime sekvas el la unua.