Conntrack NEW op in ACK-pakket: wat it net bewist

Yn it firewall-log stiet ien rigel dy’t jo net ferwachte: in ACK-pakket, conntrack-tastân NEW, in boarneadres dat net fan jo is, doelport iepen. De ferlieding is om it te lêzen as in nije ynkommende ferbining dy’t nimmen autorisearre hat. Wat de rigel eins seit, is smeller: doe’t dat pakket dizze hook berikte, hie de tracker gjin oerienkommende tastân, en it pakket droech in ACK. Dat binne twa feiten oer twa ferskillende dingen, en gjin fan beide is in folsleine transkripsje fan in hânjaan. Hjir is de folchoarder dy’t ik trochrin foardat ik in konklúzje lûk.

Begjin by it pakket, net by it ferdict

Skied de waarnimmings foardat jo se ynterpretearje. De TCP-flaggen beskriuwe dit pakket, de tastân fan de tracker beskriuwt wat er by dy hook wist, en jo opfang beskriuwt allinnich it finster dat jo opnommen hawwe.

Dy trije trochinoar helje is hoe’t in ACK “de provider hat immen binnenlitten” wurdt.

Wat NEW by de hook eins betsjut

De iptables-conntrack-oerienkomst dokumentearret NEW as in pakket dat in ferbining begjint, of ien dat heart by in ferbining dy’t noch gjin ferkear yn beide rjochtingen sjoen hat. ESTABLISHED betsjut dat de tracker pakketten beide kanten op sjoen hat. Gjin fan de beide definysjes seit dat it pakket in SYN wie, en gjin seit dat it sûnder skiednis oankaam.

In tracker dy’t in stream middenyn begjint te observearjen, klassifisearret it folgjende pakket neffens wat er wit, en dat kin neat wêze. Dat is in útspraak oer it ûnthâld fan de tracker, net oer de bedoeling fan de fiere host.

Losse tracking ferklearret de measte ACK-ferrassings

De kernel dokumentearret nf_conntrack_tcp_loose, wat de tracker tastean om TCP-ferbiningen op te pakken dy’t er net begjin sjoen hat. Mei de ynstelling op har standertwearde kin in ACK út ’e midden fan in stream as fêstige stream oannaam wurde. Sette jo it út, dan wurdt itselde pakket wierskynliker as INVALID klassifisearre ynstee fan NEW. Beide útkomsten beskriuwe de regels fan de tracker, net de skiednis fan de applikaasje.

Kontrolearje dy ynstelling dus foardat jo in teory op it label bouwe.

Slút de ferfeelsume oarsaken yn dizze folchoarder út

De measte NEW-op-ACK-barrens dy’t ik neigongen bin, einige yn ien fan dizze, en allegear binne goedkeap te kontrolearjen:

• De conntrack-tabel waard leegmakke, of de tracker waard opnij start.
• De host waard opnij start, of de stream ferhuze nei in oare namespace of apparaat.
• Asymmetryske routing stjoerde de SYN oer in paad dat jo net opfangt.
• NAT skreau de tuple oer, dat de yngong komt net mear oerien mei wat jo lêzen hawwe.
• It opfang begûn let en seach nea it begjin.

Elk fan dy hellet de eardere pakketten út it sicht fan de tracker en lit de lettere yntakt. In werstart of in leegmeitsjen fan de tabel is it maklikst te befêstigjen út uptime en logs. Asymmetryske routing docht bliken as in ienrjochting-opfang. NAT is de glûpe, want de tuple dy’t de tracker beware hat, is net de tuple dy’t yn it log printe stiet.

Skriuw op hokker fan dizze jo útsletten hawwe, en hoe, foardat jo fierder geane.

Lês de tuple, de ynterface en de hook

In conntrack-yngong wurdt identifisearre troch adressen, poarten en protokol, dus elke oersetting feroaret hokker yngong oerienkomt. Notearje ek de ynterface en de hook, want in pakket dat op ’e ferkearde ynterface of nei in oare keten sjoen wurdt, seit dat it paad net is wat it diagram seit. As it barren in VPN belûkt, beslute jo oft jo nei it binnenste pakket of de bûtenste drager sjogge. Ferlykje it dan mei wat de gateway foar deselde fiifdielige tuple logd hat.

Twa sichten op ien stream dy’t ferskille, binne ynformativer as elk fan beide allinnich.

Wannear it de muoite wurdich is om te eskalearjen

Eskalearje as jo in tsjinst sjen litte kinne dy’t berikber is en net wêze moat, mei de stream, it belied dat it taliet, en bewiis fan beide kanten. Rapportearje gjin defekt fan de provider op grûn fan ien tastânlabel of ien partiel opfang, want dat rapport sil sletten wurde mei de ferklearring dy’t jo krekt lêzen hawwe. As de tsjinst echt bleatsteld is, is de eigner fan dy grins de rjochte persoan om it te reparearjen, en in delegaasje fan portmapping of in ûnbedoelde lústerder is in wierskynliker oarsaak as in bug.

Slút dan de sichtberensgap oan dy’t ien pakket op in hiele sesje lykje liet.