TCP ફરી પ્રસારણ વિરુદ્ધ IPsec રીપ્લે ડ્રોપ: દરેક સ્તર વાંચો

ત્રણ જુદાં સાધનો ત્રણ જુદા ડુપ્લિકેટની જાણ કરે છે, અને તેમાંથી ફક્ત એક જ એવી નેટવર્ક ઘટના છે જેના પર તમે પગલાં લઈ શકો. TCP ફરી પ્રસારણ એટલે મોકલનાર એક શ્રેણી ફરી મોકલે છે, ડુપ્લિકેટ ACK એટલે પ્રાપ્તકર્તા પુષ્ટિનું પુનરાવર્તન કરે છે, અને ESP રીપ્લે ડ્રોપ એટલે સુરક્ષા સંગઠન એ પહેલેથી સ્વીકારેલ ક્રમ નંબરને નકારે છે. ત્રણમાંથી કોઈ પણ બીજા બેને અર્થમાં નથી લેતું. તેમને એક વાર્તામાં જોડતા પહેલાં દરેક કાઉન્ટર તેને ઉત્પન્ન કરતા સ્તર પર વાંચો.

ત્રણ કાઉન્ટર જે ક્યારેય એક જ ઘટના માપતા નથી

TCP ફરી પ્રસારણ નોંધનો અર્થ છે કે મોકલનારે ફરી એક ક્રમ શ્રેણી તાર પર મૂકી છે. ખોટ એનું એક કારણ છે, અને તમારી પાસેની કૅપ્ચરમાં કદાચ મૂળ પેકેટ કે સમય સમજાવે તેવી પુષ્ટિ ખૂટે છે. ડુપ્લિકેટ ACK એટલે પ્રાપ્તકર્તા TCP પુનઃપ્રાપ્તિ નિયમો હેઠળ સંચિત પુષ્ટિનું પુનરાવર્તન કરે છે, જે ન તો એપ્લિકેશન લેખનનું ડુપ્લિકેટ છે ન તો માહિતીની બીજી નકલ.

ESP તેના પોતાના ક્રમ અવકાશમાં કામ કરે છે. દરેક સુરક્ષા સંગઠન જે પેકેટ મોકલે છે તેને ક્રમાંકિત કરે છે, અને પ્રાપ્તકર્તા પહેલેથી સ્વીકારેલા નંબરોની એક વિન્ડો રાખે છે, તેથી બે વાર આવતું ESP પેકેટ ફક્ત તે જ આધારે કાઢી નખાય છે. તેથી ફરી મોકલાયેલ TCP સેગમેન્ટ નવા ક્રમ નંબર સાથે નવા ESP પેકેટમાં જાય છે, જે બંને સ્તરો પર યોગ્ય વર્તન છે. એ જ બાઇટ એક કાઉન્ટરમાં નવા અને બીજામાં જૂના લાગી શકે છે, અને કોઈ પણ સ્તર જૂઠું બોલતું નથી.

વિશ્લેષક શું જોઈ શકે છે અને શું નહીં

વિશ્લેષકની શબ્દાવલીથી શરૂ કરો, કારણ કે ફિલ્ટર નામો નિરીક્ષણોનું વર્ણન કરે છે, અંત્યબિંદુઓના અંદરના ભાગનું નહીં. સાધન જે નામો વાપરે તે જ નામોથી ગણતરી કરવી તમને ખરેખર શું માપવામાં આવ્યું તે અંગે પ્રામાણિક રાખે છે. અપૂર્ણ કૅપ્ચરમાંથી ગણતરી એ શું ટકી ગયું તેની ગણતરી છે, તાર પર શું બન્યું તેની નહીં.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

તે સંખ્યાઓની બાજુની નિષ્ણાત માહિતી વાંચો, કારણ કે ચેકસમ અને ક્રમની ચેતવણીઓ તેમને કેટલું વજન મળવા યોગ્ય છે તે બદલે છે. બે સેન્સરનો સંયુક્ત ટ્રેસ એક ફ્રેમ બે વાર બતાવી શકે છે, અને બંને નકલ ગણવાથી એવી પુનઃપ્રાપ્તિ ઘટના બનાવાય છે જે ક્યારેય બની નહોતી.

ESP કાઉન્ટર કર્નલ સ્થિતિમાં રહે છે

ESP ક્રમ નંબર TCP પ્રવાહના નહીં, સુરક્ષા સંગઠનના છે, તેથી ગેટવે જ પૂછવાનું સ્થળ છે. સ્થિતિ યાદી દરેક સંગઠન માટે પેકેટ અને ભૂલ કાઉન્ટર જણાવે છે, જે કોઈ પણ કૅપ્ચર પુનઃરચી શકતું નથી.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 ક્રમ નંબર અને તેને વાપરતી પુનઃરીપ્લે વિન્ડો વ્યાખ્યાયિત કરે છે, તેથી કંઈ ખોટું ન હોય ત્યારે પણ કાઉન્ટર વધે છે. સંબંધિત TCP વિસંગતિ વગરના એકરૂપ બાહ્ય ક્રમ નંબર ફરી પ્રસારણના તોફાન તરફ નહીં, બીજા મોકલનાર કે નકલી માર્ગ તરફ સંકેત કરે છે. એન્ક્રિપ્ટેડ ટનલનું બાહ્ય કૅપ્ચર સામાન્ય રીતે અંદરના TCP ક્રમ નંબર છુપાવે છે, તેથી અંદરના સ્ટેકે શું કર્યું તે સાબિત કરી શકતું નથી. ટનલની અંદર ફક્ત ત્યાં જ કૅપ્ચર કરો જ્યાં નીતિ પરવાનગી આપે, અને અસંબંધિત ચેતવણી શાંત કરવા ક્યારેય પુનઃરીપ્લે સુરક્ષા બંધ ન કરો.

જ્યાં દૃષ્ટિકોણ જવાબ બદલે છે

એસ્કેલેટ કરતા પહેલાં લખો કે કૅપ્ચર કેવી રીતે લેવાયું: ઇન્ટરફેસ, કૅપ્ચર પ્રક્રિયાએ ડ્રોપની જાણ કરી કે નહીં, અને સેન્સરો વચ્ચે સમયચિહ્નો સરખાવી શકાય છે કે નહીં. એક દૃષ્ટિકોણ માર્ગના બંને છેડા જોઈ શકતો નથી, તેથી પ્રાપ્તકર્તાના વર્તન વિશેનું દરેક વિધાન માપ નહીં, અનુમાન છે. ગેટવે પર લીધેલ ટ્રેસ અને હોસ્ટ પર લીધેલ ટ્રેસ ભાર હેઠળ ક્રમ અંગે અસહમત થશે, અને તે અસહમતિ સામાન્ય રીતે ટનલની નહીં, કૅપ્ચરની હોય છે. બે દૃશ્યોને સહસંબંધિત કરવું એ જ ગણતરીને પુરાવામાં ફેરવે છે.

એક માન્ય એપ્લિકેશન પ્રવાહ વાપરો અને તે જ ક્ષણે કૅપ્ચરની ગણતરીની બાજુમાં અંત્યબિંદુઓના કાઉન્ટર નોંધો. સંખ્યાઓ અસહમત હોય તો ઘટનાનો માલિક સ્તર પર ભરોસો રાખો અને બીજાને વિપરીત સાબિત ન થાય ત્યાં સુધી નિરીક્ષણ કલા-વસ્તુ ગણો. તે નિયમ ટનલ રૂપરેખા સ્પર્શ્યા વિના આ ટિકિટોમાંથી મોટા ભાગની ઉકેલે છે.

સંખ્યાઓને યોગ્ય ક્રમમાં વાંચવી

જ્યાં પ્રશ્ન પૂછાયો તે સ્તરથી શરૂ કરો: TCP ચેતવણીનો જવાબ TCP કૅપ્ચરમાંથી મળે છે, અને ESP ડ્રોપનો જવાબ ગેટવે પરના સુરક્ષા સંગઠન કાઉન્ટરમાંથી મળે છે. પછી જ પૂછો કે બંને દૃશ્યો એક જ પેકેટનું વર્ણન કરે છે કે નહીં. બંને સ્તર જરૂરી હોય તેવા નિષ્કર્ષમાં બંનેનાં નામ હોવાં જોઈએ, કારણ કે ફક્ત TCP નોંધ પર રહેલું ટનલ વિશેનું વિધાન અનુમાન છે.

દરેક શોધ માટે સ્તર, કાઉન્ટર અને દૃષ્ટિકોણ નોંધો, અને આગલો વાચક ત્રણ ઘટનાઓને એક કાલ્પનિક ખામીમાં ભેળવશે નહીં. આ ત્રણ ક્ષેત્રો સાથે એસ્કેલેટ કરો અને સુધારો સામાન્ય રીતે પહેલામાંથી જ આવે છે.