ACK pakete bateko conntrack NEW: zer ez duen frogatzen

Su-hesiaren egunkarian espero ez zenuen lerro bat dago: ACK pakete bat, conntrack egoera NEW, zurea ez den iturburu-helbidea, helburu-portua irekita. Tentazioa da inork baimendu gabeko sarrerako konexio berri gisa irakurtzea. Lerroak benetan dioena estuagoa da: pakete hori hook honetara iritsi zenean, jarraitzaileak ez zuen bat datorren egoerarik, eta paketeak ACK bat zekarren. Bi gertaera dira bi gauza desberdinei buruz, eta bietako bat ere ez da eskuko keinua oso-osorik jasotzen duen transkripzioa. Hona hemen ondorio bat atera aurretik igarotzen dudan ordena.

Hasi paketetik, ez epaitik

Bereizi behaketak interpretatu aurretik. TCP banderek pakete hau deskribatzen dute, jarraitzailearen egoerak hook hartan zer zekien deskribatzen du, eta zure harrapaketak erregistratu zenuen leihoa soilik deskribatzen du.

Hirurak nahastea da ACK bat «hornitzaileak norbait sartzen utzi zuen» bihurtzeko modua.

Zer esan nahi duen NEWek hookean

iptables conntrack bat-etortzea NEW dokumentatzen du konexio bat hasten duen pakete gisa, edo bi norabideetan trafikoa ikusi ez duen konexio bati lotutako pakete gisa. ESTABLISHEDek esan nahi du jarraitzaileak bi norabideetan ikusi dituela paketeak. Bi definizioetatik batek ere ez du esaten paketea SYN bat zenik, ezta historiarik gabe iritsi zenik ere.

Erditik aurrera fluxu bat behatzen hasten den jarraitzaileak hurrengo paketea dakienaren arabera sailkatzen du, eta hori ezer ez izan daiteke. Hori jarraitzailearen memoriari buruzko baieztapena da, ez urruneko ostalariaren asmoari buruzkoa.

Jarraipen lasaiak ACK ezusteko gehienak azaltzen ditu

Kernelak dokumentatzen du nf_conntrack_tcp_loose, eta horrek jarraitzaileari hasiera ikusi ez zuen TCP konexioak hartzeko aukera ematen dio. Ezarpena bere balio lehenetsian dagoela, fluxuaren erditik datorren ACK bat finkatutako fluxu gisa onar daiteke. Desaktibatu eta pakete bera INVALID gisa sailkatzeko probabilitate handiagoa izango du NEW gisa baino. Bi emaitzek jarraitzailearen arauak deskribatzen dituzte, ez aplikazioaren historia.

Beraz, egiaztatu ezarpen hori etiketan teoria bat eraiki aurretik.

Baztertu kausa aspergarriak ordena honetan

Jarraitu ditudan NEW-on-ACK gertaera gehienak hauetako batean bukatu ziren, eta denak merkeak dira egiaztatzen:

• conntrack taula garbitu zen, edo jarraitzailea berrabiarazi zen.
• Ostalaria berrabiarazi zen, edo fluxua beste namespace edo gailu batera joan zen.
• Bideratze asimetrikoak SYNa harrapatzen ez duzun bide batetik atera zuen.
• NATek tuplea berridatzi zuen, beraz erregistroa ez dator bat irakurri zenuenarekin.
• Harrapaketa berandu hasi zen eta ez zuen inoiz hasiera ikusi.

Horietako bakoitzak aurretiko paketeak jarraitzailearen ikus-eremutik kentzen ditu, eta geroagokoak ukitu gabe uzten. Berrabiaraztea edo taula garbitzea da uptime eta egunkarien bidez egiaztatzeko errazena. Bideratze asimetrikoa norabide bakarreko harrapaket gisa agertzen da. NAT da maltzurra, jarraitzaileak gordetako tuplea ez baita egunkarian inprimatutako tuplea.

Idatzi horietako zeintzuk baztertu zenituen, eta nola, aurrera egin aurretik.

Irakurri tuplea, interfazea eta hooka

conntrack erregistro baten gakoa helbideak, portuak eta protokoloa dira, beraz edozein itzulpenek aldatzen du zein erregistrok bat egiten duen. Erregistratu interfazea eta hooka ere, interfaze okerrean edo beste kate baten ondoren ikusitako pakete batek esaten baitizu bidea ez dela diagramak dioena. Gertaerak VPN bat dakarrenean, erabaki barne-paketeari edo kanpo-garraiolari begiratzen diozun. Ondoren alderatu gatewayak tuple bost zatiko berarentzat erregistratu zuenarekin.

Fluxu beraren bi ikuspegi ados ez datozenean, bietako edozeinek bakarrik baino informazio gehiago ematen dute.

Noiz merezi duen eskalatzea

Eskalatu irisgarria den eta izan behar ez duen zerbitzu bat erakusteko gai zarenean, fluxuarekin, hori onartu zuen politikarekin eta bi muturretako frogak emanda. Ez salatu hornitzailearen akats bat egoera-etiketa bakar batean edo harrapaketa partzial bakarrean oinarrituta, salaketa hori oraintxe irakurri duzun azalpenarekin itxiko baita. Zerbitzua benetan agerian badago, muga horren jabea da konpontzeko pertsona egokia, eta delegatutako portu-mapa edo nahi gabeko entzule bat akats bat baino kausa probableagoa da.

Gero itxi pakete bat saio oso gisa agertzen utzi zuen ikusgaitasun hutsunea.