TCP-újraküldések kontra IPsec-visszajátszás-elvetések: olvassa minden réteget

Három különböző eszköz három különböző duplikátumot jelent, és közülük csak egy olyan hálózati esemény, amelyre cselekedhet. A TCP-újraküldés az, amikor a küldő újra elküld egy tartományt, a duplikált ACK az, amikor a fogadó megismétel egy nyugtázást, az ESP-visszajátszás-elvetés pedig az, amikor egy biztonsági társítás elutasít egy már elfogadott sorszámot. A három közül egyik sem feltételezi a másikat. Minden számlálót azon a rétegen olvasson, amely létrehozza, mielőtt egyetlen történetté kapcsolná őket.

Három számláló, amely soha nem ugyanazt az eseményt méri

A TCP-újraküldés jelölés azt jelenti, hogy a küldő ismét a vezetékre tett egy sorozattartományt. A veszteség ennek egyik oka, és előfordulhat, hogy a birtokában lévő felvételből egyszerűen hiányzik az eredeti csomag vagy a nyugtázás, amely megmagyarázná az időzítést. A duplikált ACK az, amikor a fogadó a TCP helyreállítási szabályai szerint megismétel egy kumulatív nyugtázást, ami sem nem duplikált alkalmazásírás, sem nem az adatok második példánya.

Az ESP a saját sorozatterében működik. Minden biztonsági társítás megszámozza az általa küldött csomagokat, és a fogadó egy ablakot tart a már elfogadott számokról, így a kétszer érkező ESP-csomagot pusztán e szabályok alapján eldobja. Ezért az újraküldött TCP-szegmens friss ESP-csomagban, friss sorszámmal utazik, ami mindkét rétegen helyes viselkedés. Ugyanazok a bájtok az egyik számlálóban újnak, a másikban réginek tűnhetnek, és egyik réteg sem hazudik.

Mit lát és mit nem lát az elemző

Kezdje az elemző szókincsével, mert a szűrők nevei megfigyeléseket írnak le, nem a végpontok belsejét. Ha ugyanazokkal a nevekkel számol, amelyeket az eszköz használ, őszinte marad abban, hogy mit mértek valójában. Egy hiányos felvételből származó szám az átéltek száma, nem azé, ami a vezetéken történt.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Olvassa el a számok melletti szakértői információt, mert az ellenőrzőösszegre és a sorrendre vonatkozó figyelmeztetések megváltoztatják, mennyi súlyt érdemelnek. Két érzékelő egyesített nyoma egy keretet kétszer is mutathat, és mindkét példány számolása olyan helyreállítási eseményt talál ki, amely soha nem történt meg.

Az ESP-számlálók a kernel állapotában élnek

Az ESP-sorszámok a biztonsági társításhoz tartoznak, nem a TCP-folyamhoz, ezért az átjáró az a hely, ahol kérdezni kell. Az állapotlista társításonként jelent csomag- és hibaszámlálókat, amelyeket egyetlen felvétel sem tud rekonstruálni.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 határozza meg a sorszámot és az azt felemésztő visszajátszás elleni ablakot, ezért nő a számláló akkor is, ha semmi sem rossz. A megfelelő TCP-anomália nélküli monoton külső sorszámok más küldőre vagy duplikált útvonalra utalnak, nem újraküldési viharra. Egy titkosított alagút külső felvétele általában elrejti a belső TCP-sorszámokat, így nem tudja bizonyítani, mit tett a belső verem. Csak ott rögzítsen az alagúton belül, ahol a házirend engedi, és soha ne kapcsolja ki a visszajátszás elleni védelmet egy kapcsolódó figyelmeztetés elnémításához.

Ahol a megfigyelési pont megváltoztatja a választ

Mielőtt eszkalál, írja le, hogyan készült a felvétel: az interfész, jelezte-e a rögzítési folyamat a veszteségeket, és összehasonlíthatók-e az időbélyegek az érzékelők között. Egyetlen megfigyelési pont nem látja egy útvonal mindkét végét, ezért a fogadó viselkedéséről szóló minden állítás következtetés, nem mérés. Az átjárón készült nyom és a hoszton készült nyom terhelés alatt vitatkozni fog a sorrendről, és ez a vita általában a felvételhez tartozik, nem az alagúthoz. Két nézet korrelálása az, ami a számot bizonyítékká teszi.

Használjon egy engedélyezett alkalmazásfolyamot, és jegyezze fel a végpontok számlálóit a felvétel száma mellett ugyanabban a pillanatban. Ha a számok eltérnek, bízzon abban a rétegben, amely az eseményt birtokolja, és a másikat tekintse megfigyelési műterméknek, amíg az ellenkezője be nem bizonyosodik. Ez a szabály az ilyen esetek többségét megoldja az alagút konfigurációjának érintése nélkül.

A számok olvasása a megfelelő sorrendben

Azzal a réteggel kezdje, ahol a kérdés felmerült: a TCP-figyelmeztetésre TCP-felvételből válaszolunk, az ESP-elvetésre pedig az átjárón lévő biztonsági társítás számlálóiból. Csak ezután kérdezze meg, hogy a két nézet ugyanazt a csomagot írja-e le. Az a következtetés, amelyhez mindkét réteg kell, nevezze meg mindkettőt, mert az alagútról szóló, csupán TCP-jelölésre támaszkodó állítás találgatás.

Jegyezze fel a réteget, a számlálót és a megfigyelési pontot minden leletnél, és a következő olvasó nem olvaszt három eseményt egyetlen képzeletbeli hibába. Ezekkel a három mezővel eszkaláljon, és a javítás általában az elsőből következik.