TCP kordussaatmised versus IPsec korduse tagasilükkamised: loe iga kihti

Kolm erinevat tööriista teatavad kolmest erinevast duplikaadist ja ainult üks neist on võrgu sündmus, mille peale saab tegutseda. TCP kordussaatmine on saatja, kes saadab vahemikku uuesti, duplikaatne ACK on vastuvõtja, kes kordab kinnitust, ja ESP korduse tagasilükkamine on turvaassotsiatsioon, mis keeldub juba vastuvõetud järjekorranumbrist. Ükski neist kolmest ei eelda ühtegi teist. Loe iga loendurit kihis, mis selle tekitab, enne kui need üheks looks ühendad.

Kolm loendurit, mis ei mõõda kunagi sama sündmust

TCP kordussaatmise märge tähendab, et saatja pani järjestusvahemiku uuesti juhtmele. Kadu on üks selle põhjuseid ja sinu käes olev salvestus võib lihtsalt puududa algse paketi või kinnitusest, mis aega seletaks. Duplikaatne ACK on vastuvõtja, kes kordab kumulatiivset kinnitust TCP taastamise reeglite järgi, mis pole ei rakenduse duplikaatkirje ega andmete teine koopia.

ESP töötab oma järjestusruumis. Iga turvaassotsiatsioon nummerdab saadetavad paketid ja vastuvõtja hoiab juba vastuvõetud numbrite akent, seega ESP pakett, mis saabub kaks korda, jäetakse ainult nende reeglite alusel kõrvale. Seetõttu liigub kordussaatmisega TCP segment värskes ESP paketis värske järjekorranumbriga, mis on mõlemas kihis õige käitumine. Samad baidid võivad ühes loenduris paista uutena ja teises vanana, ja kumbki kiht ei valeta.

Mida analüsaator näeb ja mida mitte

Alusta analüsaatori sõnavarast, sest filtrite nimed kirjeldavad vaatlusi, mitte otspunktide sisemust. Tööriista kasutatavate samade nimedega loendamine hoiab sind ausana selles, mida tegelikult mõõdeti. Puudulikust salvestusest saadud arv on ellujäänu arv, mitte juhtmel toimunu arv.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Loe nende numbrite kõrval olevat ekspertteavet, sest kontrollsumma ja järjestuse hoiatused muudavad, kui palju kaalu need väärib. Kahe anduri ühendatud jälg võib näidata ühte kaadrit kaks korda ja mõlema koopia loendamine leiutab taastamissündmuse, mida kunagi ei toimunud.

ESP loendurid elavad kerneli olekus

ESP järjekorranumbrid kuuluvad turvaassotsiatsioonile, mitte TCP voole, seega tuleb küsida lüüsist. Olekuloend näitab iga assotsiatsiooni paketi- ja vigalendureid, mida ükski salvestus ei saa rekonstrueerida.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 määratleb järjekorranumbri ja seda tarbiva kordusvastase akna, mistõttu loendur kasvab ka siis, kui miski pole valesti. Monotoonsed välised järjekorranumbrid ilma vastava TCP anomaaliata viitavad pigem teisele saatjale või dubleeritud teele kui kordussaatmise tormile. Krüpteeritud tunneli väline salvestus peidab tavaliselt sisemised TCP järjekorranumbrid, seega ei saa see tõestada, mida sisemine virn tegi. Salvesta tunnelis sees ainult seal, kus poliitika lubab, ja ära kunagi lülita korduskaitset välja, et vaigistada seostamata hoiatust.

Kus vaatluspunkt vastust muudab

Enne eskaleerimist pane kirja, kuidas salvestus tehti: liides, kas salvestusprotsess teatas kadudest ja kas ajatemplid on andurite vahel võrreldavad. Üks vaatluspunkt ei näe tee mõlemat otsa, seega on iga väide vastuvõtja käitumise kohta järeldus, mitte mõõtmine. Lüüsil tehtud jälg ja hostil tehtud jälg ei ole koormuse all järjekorras ühel meelel ja see erinevus kuulub tavaliselt salvestusele, mitte tunnelile. Kahe vaate korreleerimine on see, mis muudab arvu tõendiks.

Kasuta üht lubatud rakendusevoogu ja pane otspunktide loendurid salvestuse arvude kõrvale samal hetkel kirja. Kui numbrid ei ühti, usalda kihti, millele sündmus kuulub, ja käsitle teist vaatlusartefaktina, kuni vastupidine on tõestatud. See reegel lahendab enamiku neist juhtumitest tunnelikonfiguratsiooni puutumata.

Numbrite lugemine õiges järjekorras

Alusta kihist, kus küsimus esitati: TCP hoiatusele vastatakse TCP salvestusest ja ESP tagasilükkamisele vastatakse lüüsil olevate turvaassotsiatsiooni loendurite põhjal. Alles siis küsi, kas kaks vaadet kirjeldavad sama paketti. Järeldus, mis vajab mõlemat kihti, peaks nimetama mõlemat, sest tunnelit puudutav väide, mis toetub ainult TCP märgele, on oletus.

Pane iga leiu juures kirja kiht, loendur ja vaatluspunkt, ja järgmine lugeja ei ühenda kolme sündmust üheks kujutletud rikkeks. Eskaleeri nende kolme väljaga ja parandus järgneb tavaliselt esimesest.