ارسال‌های مجدد TCP در برابر حذف‌های تکرار IPsec: هر لایه را بخوانید

سه ابزار متفاوت سه نسخه تکراری متفاوت را گزارش می‌دهند و تنها یکی از آن‌ها رویدادی شبکه‌ای است که می‌توانید روی آن اقدام کنید. ارسال مجدد TCP یعنی فرستنده‌ای که یک بازه را دوباره می‌فرستد، ACK تکراری یعنی گیرنده‌ای که یک تأیید را تکرار می‌کند، و حذف تکرار ESP یعنی یک انجمن امنیتی که شماره ترتیبی را که پیش‌تر پذیرفته رد می‌کند. هیچ‌یک از این سه دیگری را نتیجه نمی‌دهد. پیش از آنکه آن‌ها را در یک روایت به هم بپیوندید، هر شمارنده را در لایه‌ای که آن را تولید می‌کند بخوانید.

سه شمارنده که هرگز یک رویداد را اندازه نمی‌گیرند

نشانه ارسال مجدد TCP یعنی فرستنده بازه‌ای از ترتیب را دوباره روی سیم گذاشته است. از دست رفتن یکی از دلایل آن است، و ضبطی که در دست دارید شاید به‌سادگی بسته اصلی یا تأییدی را که زمان‌بندی را توضیح می‌دهد نداشته باشد. ACK تکراری یعنی گیرنده‌ای که بر پایه قواعد بازیابی TCP یک تأیید تجمعی را تکرار می‌کند، که نه یک نوشتن تکراری برنامه است و نه نسخه دوم داده‌ها.

ESP در فضای ترتیبی خودش کار می‌کند. هر انجمن امنیتی بسته‌هایی را که می‌فرستد شماره‌گذاری می‌کند و گیرنده پنجره‌ای از شماره‌هایی را که پیش‌تر پذیرفته نگه می‌دارد، پس بسته ESP که دو بار برسد فقط بر همین اساس کنار گذاشته می‌شود. بنابراین یک قطعه TCP که دوباره فرستاده شده در بسته ESP تازه با شماره ترتیبی تازه سفر می‌کند، که رفتار درست در هر دو لایه است. همان بایت‌ها می‌توانند در یک شمارنده تازه و در دیگری کهنه به نظر برسند و هیچ‌یک از دو لایه دروغ نمی‌گوید.

تحلیلگر چه می‌بیند و چه نمی‌بیند

با واژگان تحلیلگر شروع کنید، زیرا نام فیلترها مشاهدات را توصیف می‌کنند نه درون انتهاها را. شمردن با همان نام‌هایی که ابزار به کار می‌برد شما را درباره آنچه واقعاً اندازه‌گیری شده صادق نگه می‌دارد. شماری که از ضبط ناقص به دست می‌آید شماری از آنچه جان به در برده است، نه از آنچه روی سیم رخ داده است.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

اطلاعات تخصصی کنار آن اعداد را بخوانید، زیرا هشدارهای چک‌سام و ترتیب وزن آن‌ها را تغییر می‌دهند. ردپای ادغام‌شده از دو حسگر می‌تواند یک قاب را دو بار نشان دهد و شمردن هر دو نسخه رویداد بازیابی‌ای را از خود می‌سازد که هرگز رخ نداده است.

شمارنده‌های ESP در وضعیت هسته زندگی می‌کنند

شماره‌های ترتیبی ESP به انجمن امنیتی تعلق دارند نه به جریان TCP، پس دروازه جایی است که باید پرسید. فهرست وضعیت شمارنده‌های بسته و خطا را برای هر انجمن گزارش می‌کند که هیچ ضبطی نمی‌تواند بازسازی کند.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 شماره ترتیبی و پنجره ضده‌تکرار را که آن را مصرف می‌کند تعریف می‌کند و به همین دلیل شمارنده حتی وقتی هیچ چیز غلط نیست بالا می‌رود. شماره‌های ترتیبی بیرونی یکنوا بدون ناهنجاری متناظر TCP به فرستنده‌ای دیگر یا مسیری تکراری اشاره می‌کنند نه به طوفانی از ارسال مجدد. ضبط بیرونی یک تونل رمزنگاری‌شده معمولاً شماره‌های ترتیبی درونی TCP را پنهان می‌کند، پس نمی‌تواند ثابت کند پشته درونی چه کرده است. فقط جایی که سیاست اجازه می‌دهد درون تونل ضبط کنید و هرگز محافظت ضده‌تکرار را برای خاموش کردن هشداری بی‌ربط غیرفعال نکنید.

جایی که نقطه مشاهده پاسخ را تغییر می‌دهد

پیش از تشدید، بنویسید ضبط چگونه گرفته شده است: رابط، اینکه فرایند ضبط افت‌هایی را گزارش کرده یا نه، و اینکه مهرهای زمانی میان حسگرها قابل مقایسه هستند یا نه. یک نقطه مشاهده نمی‌تواند هر دو سر یک مسیر را ببیند، پس هر گزاره‌ای درباره رفتار گیرنده استنتاج است نه اندازه‌گیری. ردپایی که روی دروازه گرفته شده و ردپایی که روی میزبان گرفته شده درباره ترتیب زیر بار اختلاف خواهند داشت و آن اختلاف معمولاً به ضبط تعلق دارد نه به تونل. همبسته کردن دو نما همان چیزی است که شمار را به مدرک تبدیل می‌کند.

از یک جریان برنامه مجاز استفاده کنید و شمارنده‌های انتها را در همان لحظه کنار شمارهای ضبط ثبت کنید. اگر اعداد اختلاف داشتند، به لایه‌ای که مالک رویداد است اعتماد کنید و دیگری را تا اثبات خلاف، آرتیفکت مشاهده بدانید. این قاعده بیشتر این تیکت‌ها را بدون دست زدن به پیکربندی تونل حل می‌کند.

خواندن اعداد به ترتیب درست

از لایه‌ای شروع کنید که پرسش در آن مطرح شده است: هشدار TCP از یک ضبط TCP پاسخ می‌گیرد و حذف ESP از شمارنده‌های انجمن امنیتی روی دروازه پاسخ می‌گیرد. تنها پس از آن بپرسید آیا دو نما یک بسته را توصیف می‌کنند. نتیجه‌ای که به هر دو لایه نیاز دارد باید هر دو را نام ببرد، زیرا ادعایی درباره تونل که تنها بر نشانه TCP تکیه کند حدس است.

برای هر یافته لایه، شمارنده و نقطه مشاهده را ثبت کنید و خواننده بعدی سه رویداد را در یک عیب خیالی ادغام نخواهد کرد. با این سه میدان تشدید کنید و اصلاح معمولاً از اولی حاصل می‌شود.