TCP berbidalketak IPsec errepikatze-bazterketen aurrean: irakurri geruza bakoitza

Hiru tresna desberdinek hiru bikoiztu desberdin jakinarazten dituzte, eta horietatik bakarra da jardun dezakezun sareko gertaera. TCP berbidalketa bat barruti bat berriz bidaltzen duen igorlea da, ACK bikoiztu bat baieztapen bat errepikatzen duen hartzailea da, eta ESP errepikatze-bazterketa bat jada onartu duen sekuentzia-zenbaki bat ukatzen duen segurtasun-elkartea da. Hiruretako batek ez du besteetako bat inplikatzen. Irakurri kontagailu bakoitza hura sortzen duen geruzan, istorio batean elkartu aurretik.

Inoiz gertaera bera neurtzen ez duten hiru kontagailu

TCP berbidalketa-oharrak esan nahi du igorleak sekuentzia-barruti bat berriro jarri duela kablean. Galtzea horren arrazoi bat da, eta duzun harrapaketak agian ez du jatorrizko paketea edo denbora azalduko lukeen baieztapena. ACK bikoiztu bat hartzaileak TCP berreskuratze-arauen arabera baieztapen metatua errepikatzea da, eta hori ez da aplikazioaren idazketa bikoiztu bat ez eta datuen bigarren kopia bat.

ESP bere sekuentzia-espazioan lan egiten du. Segurtasun-elkarte bakoitzak bidaltzen dituen paketeak zenbakitzen ditu, eta hartzaileak jada onartu dituen zenbakien leiho bat mantentzen du, beraz, birritan iristen den ESP pakete bat baztertzen da irizpide horien arabera soilik. Beraz, berbidalitako TCP segmentu bat ESP pakete berri batean joaten da sekuentzia-zenbaki berri batekin, eta hori jokabide zuzena da bi geruzetan. Byte berak berriak dirudi kontagailu batean eta zaharrak bestean, eta bi geruzetako batek ere ez du gezurrik esaten.

Analizatzaileak zer ikus dezakeen eta zer ez

Hasi analizatzailearen hiztegiarekin, filtroen izenek behaketak deskribatzen baitituzte, ez muturren barnealdea. Tresnak erabiltzen dituen izen berberekin zenbatzeak zintzo mantentzen zaitu benetan neurtu denari buruz. Harrapaketa osatugabe baten zenbaketa bizirik iraun duenaren zenbaketa da, ez kablean gertatu denarena.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Irakurri zenbaki horien ondoan dagoen aditu-informazioa, kontrol-batuketaren eta ordenaren abisuek merezi duten pisua aldatzen baitute. Bi sentsoreen arrasto bateratuak fotograma bat birritan erakuts dezake, eta bi kopiak zenbatzeak inoiz gertatu ez zen berreskuratze-gertaera bat asmatzen du.

ESP kontagailuak kernelaren egoeran bizi dira

ESP sekuentzia-zenbakiak segurtasun-elkarteari dagozkio, ez TCP fluxuari, beraz, ataka da galdetzeko lekua. Egoera-zerrendak elkarte bakoitzeko pakete- eta errore-kontagailuak ematen ditu, harrapaketa batek ere berreraiki ezin dituenak.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 arauak sekuentzia-zenbakia eta hura kontsumitzen duen errepikatzearen aurkako leihoa definitzen ditu, eta horregatik igotzen da kontagailua ezer gaizki ez dagoenean ere. Kanpoaldeko sekuentzia-zenbaki monotonikoek TCP anomalia parekagarririk gabe beste igorle bat edo bide bikoiztu bat adierazten dute, ez berbidalketa-ekaitz bat. Tunel zifratu baten kanpoko harrapaketak TCP barneko sekuentzia-zenbakiak ezkutatzen ditu normalean, beraz, ezin du frogatu barneko pila-k zer egin zuen. Harrapatu tunelaren barruan politikak uzten duen lekuan soilik, eta ez desgaitu inoiz errepikatzearen aurkako babesa loturarik gabeko abisu bat isilarazteko.

Non aldatzen duen erantzuna behaketa-puntuak

Eskalatu aurretik, idatzi harrapaketa nola egiten zen: interfazea, harrapaketa-prozesuak galerak jakinarazi zituen ala ez, eta denbora-markak sentsoreen artean aldera daitezkeen ala ez. Behaketa-puntu batek ezin ditu bide baten bi muturrak ikusi, beraz, hartzailearen jokabideari buruzko edozein baieztapen inferentzia da, ez neurketa. Atakan hartutako arrasto batek eta ostalarian hartutako arrasto batek desadostasuna izango dute kargapean ordenari buruz, eta desadostasun hori harrapaketari dagokio normalean, ez tunelari. Bi ikuspegi korrelazionatzeak bihurtzen du zenbaketa froga.

Erabili baimendutako aplikazio-fluxu bat eta erregistratu muturren kontagailuak harrapaketaren zenbakien ondoan une berean. Zenbakiak bat ez badatoz, fidatu gertaeraren jabe den geruzan eta tratatu bestea behaketa-artefaktu gisa kontrakoa frogatu arte. Arau horiek kasu horietako gehienak konpontzen ditu tunelaren konfigurazioa ukitu gabe.

Zenbakiak ordena egokian irakurtzea

Hasi galdera egin zen geruzan: TCP abisu bati TCP harrapaketa batetik erantzuten zaio, eta ESP bazterketa bati atakako segurtasun-elkartearen kontagailuetatik erantzuten zaio. Orduan soilik galdetu bi ikuspegiek pakete bera deskribatzen duten. Bi geruzak behar dituen ondorio batek biak izendatu beharko lituzke, tunelari buruzko TCP ohar hutsetan oinarritutako baieztapen bat susmoa baita.

Erregistratu geruza, kontagailua eta behaketa-puntua aurkitutako bakoitzeko, eta hurrengo irakurleak ez ditu hiru gertaera irudizko akats bakarrean batuko. Eskalatu hiru eremu horiekin eta konponketa normalean lehenengotik dator.