TCP-oerienstjoerings tsjin IPsec-ôfwizings fan werhelling: lês elke laach

Trije ferskate ark rapportearje trije ferskate duplikaten, en mar ien fan har is in netwurk-evenemint dêr’t jo op hannelje kinne. In TCP-oerienstjoering is in stjoerder dy’t in berik opnij stjoert, in dûbele ACK is in ûntfanger dy’t in befêstiging werhellet, en in ESP-ôfwizing fan werhelling is in befeiligingsassosjaasje dy’t in folchnûmer wegeret dat it al akseptearre hat. Gjin fan de trije ymplisearret ien fan de oaren. Lês elke teller op ’e laach dy’t him makket foardat jo se yn ien ferhaal ferbine.

Trije tellers dy’t nea itselde evenemint mjitte

De TCP-oerienstjoeringsnotaasje betsjut dat de stjoerder in folchberik opnij op ’e tried set hat. Ferlies is ien reden dêrfoar, en de opname dy’t jo hawwe mist miskien gewoan it oarspronklike pakket of de befêstiging dy’t de timing ferklearje soe. In dûbele ACK is de ûntfanger dy’t in kumulative befêstiging neffens de TCP-herstelregels werhellet, wat noch in dûbele applikaasjeskriuwing noch in twadde kopy fan ’e gegevens is.

ESP wurket yn syn eigen folchnûmerromte. Elke befeiligingsassosjaasje nûmeret de pakketten dy’t it stjoert, en de ûntfanger hâldt in finster fan nûmers dy’t er al akseptearre hat, dus in ESP-pakket dat twa kear oankomt wurdt op dy grûn allinnich fuorthelle. In opnij stjoerd TCP-segment reizget dêrom yn in nij ESP-pakket mei in nij folchnûmer, wat op beide lagen korrekt gedrach is. Deselde bytes kinne yn ien teller nij lykje en yn in oare âld, en gjin fan beide lagen ligenet.

Wat de analyzer wol en net sjen kin

Begjin mei it wurdskat fan de analyzer, want de filternammen beskriuwe waarnimmingen en net it ynterieur fan de einpunten. Telle mei deselde nammen dy’t it ark brûkt hâldt jo earlik oer wat eins metten is. In telle út in ûnfolsleine opname is in telle fan wat oerlibbe hat, net fan wat op ’e tried barde.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Lês de saakkundige ynformaasje njonken dy sifers, want warskôgings oer kontrôlesom en oarder feroarje hoefolle gewicht se fertsjinje. In gearfoege spoar fan twa sensors kin ien frame twa kear sjen litte, en it tellen fan beide kopyen betinkt in herstel-evenemint dat nea barde.

ESP-tellers libje yn ’e kernelsteat

ESP-folchnûmers hearre by de befeiligingsassosjaasje, net by de TCP-stream, dus de gateway is it plak om te freegjen. De steatlist rapportearret pakket- en flottellers per assosjaasje dy’t gjin inkelde opname werbouwe kin.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 definiearret it folchnûmer en it anty-werheljende finster dat it ferbrûkt, en dêrom stiiget de teller sels as der neat mis is. Monotone bûtenste folchnûmers sûnder byhearrende TCP-anomaly wize op in oare stjoerder of in dûbele rûte ynstee fan op in oerienstjoeringsstoarm. In bûtenste opname fan in fersifere tunnel ferberget normaal de binnenste TCP-folchnûmers, dus kin it net bewize wat de binnenste stapel die. Meitsje allinnich opnamen binnen de tunnel dêr’t belied it talit, en skeakelje nea anty-werhelling út om in net besibbe warskôging stil te meitsjen.

Wêr’t it eachpunt it antwurd feroaret

Foardat jo eskaleare, skriuw op hoe’t de opname makke is: de ynterface, oft it opnamproses ferliezen rapportearre en oft de tiidstimpels oer sensors fergelykber binne. Ien eachpunt kin net beide einen fan in rûte sjen, dus elke bewearing oer it gedrach fan de ûntfanger is in konklúzje en net in mjitting. In spoar fan de gateway en in spoar fan de host sille it ûnder lêst oer de oarder net iens wêze, en dy ûniens heart normaal by de opname en net by de tunnel. Twa sichten korrelearje is wat in telle yn bewiis feroaret.

Brûk ien tastiene applikaasjestream en notearje de tellers fan de einpunten njonken de tellen fan de opname op itselde stuit. As de sifers net oerienkomme, fertrou de laach dy’t it evenemint besit en behannelje de oare as in waarnimmingsartefakt oant it tsjinoerstelde bewiisd is. Dy regel beslút de measte fan dizze gefallen sûnder de tunnelkonfiguraasje oan te rekken.

De sifers yn ’e goede oarder lêze

Begjin by de laach dêr’t de fraach steld is: in TCP-warskôging wurdt beäntwurde út in TCP-opname, en in ESP-ôfwizing wurdt beäntwurde út de tellers fan de befeiligingsassosjaasje op ’e gateway. Freegje pas dêrnei oft de beide sichten itselde pakket beskriuwe. In konklúzje dy’t beide lagen nedich hat moat beide neame, want in bewearing oer de tunnel dy’t allinnich op in TCP-notaasje rêst is in gissing.

Notearje de laach, de teller en it eachpunt by elke befinning, en de folgjende lêzer sil trije eveneminten net yn ien betocht gebrek gearranne. Eskaleare mei dy trije fjilden en de reparaasje folget meastentiids út it earste.