TCP վերահաղորդումները ընդդեմ IPsec կրկնախաղի մերժումների։ կարդացեք յուրաքանչյուր շերտը

Երեք տարբեր գործիքներ հաղորդում են երեք տարբեր կրկնօրինակների մասին, և դրանցից միայն մեկն է ցանցային իրադարձություն, որի վրա կարող եք գործել։ TCP վերահաղորդումը ուղարկողի կողմից տիրույթի կրկնակի ուղարկումն է, կրկնօրինակ ACK-ը ստացողի կողմից հաստատման կրկնումն է, իսկ ESP կրկնախաղի մերժումը անվտանգության ասոցիացիայի կողմից արդեն ընդունված հաջորդականության համարի մերժումն է։ Երեքից ոչ մեկը չի ենթադրում մյուսներից որևէ մեկը։ Նախքան դրանք մեկ պատմության մեջ միացնելը՝ կարդացեք յուրաքանչյուր հաշվիչն այն շերտում, որը ստեղծում է այն։

Երեք հաշվիչ, որոնք երբեք չեն չափում նույն իրադարձությունը

TCP վերահաղորդման նշումը նշանակում է, որ ուղարկողը կրկին հաջորդականության տիրույթ է դրել լարի վրա։ Կորուստը դրա պատճառներից մեկն է, և ձեր ունեցած գրառումը կարող է պարզապես բացակայել բնօրինակ փաթեթը կամ հաստատումը, որը կբացատրեր ժամանակը։ Կրկնօրինակ ACK-ը ստացողի կողմից TCP վերականգնման կանոններով կուտակային հաստատման կրկնումն է, ինչը ոչ հավելվածի կրկնակի գրառում է, ոչ էլ տվյալների երկրորդ պատճեն։

ESP-ն աշխատում է իր իսկ հաջորդականության տարածքում։ Յուրաքանչյուր անվտանգության ասոցիացիա համարակալում է իր ուղարկած փաթեթները, և ստացողը պահում է արդեն ընդունված համարների պատուհան, ուստի երկու անգամ ժամանող ESP փաթեթը մերժվում է միայն այդ կանոններով։ Ուստի վերահաղորդված TCP սեգմենտը ճամփորդում է նոր ESP փաթեթում՝ նոր հաջորդականության համարով, ինչը ճիշտ վարք է երկու շերտերում էլ։ Նույն բայթերը կարող են նոր թվալ մի հաշվիչում և հին՝ մյուսում, և ոչ մի շերտ չի ստում։

Ինչ կարող է և ինչ չի կարող տեսնել վերլուծիչը

Սկսեք վերլուծիչի բառապաշարից, քանի որ ֆիլտրերի անունները նկարագրում են դիտարկումներ, այլ ոչ թե վերջնակետերի ներքինը։ Նույն անուններով հաշվելը, որոնք օգտագործում է գործիքը, ձեզ ազնիվ է պահում այն հարցում, թե ինչ է իրականում չափվել։ Թերի գրառումից ստացված հաշվարկը գոյատևածի հաշվարկն է, ոչ թե լարի վրա կատարվածի։

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Կարդացեք այդ թվերի կողքի փորձագիտական տեղեկատվությունը, քանի որ ստուգիչ գումարի և հերթականության նախազգուշացումները փոխում են, թե որքան կշիռ են նրանք արժանի։ Երկու սենսորների միաձուլված հետքը կարող է մեկ կադր ցույց տալ երկու անգամ, և երկու պատճենները հաշվելը հորինում է վերականգնման իրադարձություն, որը երբեք չի եղել։

ESP հաշվիչները ապրում են միջուկի վիճակում

ESP հաջորդականության համարները պատկանում են անվտանգության ասոցիացիային, ոչ թե TCP հոսքին, ուստի դարպասն այն տեղն է, որտեղ պետք է հարցնել։ Վիճակի ցանկը հաղորդում է յուրաքանչյուր ասոցիացիայի փաթեթի և սխալի հաշվիչներ, որոնք ոչ մի գրառում չի կարող վերականգնել։

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 սահմանում է հաջորդականության համարը և այն սպառող կրկնախաղի դեմ պատուհանը, ինչի պատճառով հաշվիչը բարձրանում է նույնիսկ երբ ոչինչ սխալ չէ։ Համապատասխան TCP անոմալիա չունեցող միատոն արտաքին հաջորդականության համարները մատնանշում են այլ ուղարկողի կամ կրկնված ուղու, այլ ոչ թե վերահաղորդումների փոթորկի։ Գաղտնագրված թունելի արտաքին գրառումը սովորաբար թաքցնում է ներքին TCP հաջորդականության համարները, ուստի չի կարող ապացուցել, թե ինչ արեց ներքին կույտը։ Գրառեք թունելի ներսում միայն այնտեղ, որտեղ քաղաքականությունը թույլ է տալիս, և երբեք չանջատեք կրկնախաղի պաշտպանությունը՝ անկապ նախազգուշացումը լռեցնելու համար։

Որտեղ դիտարկման կետը փոխում է պատասխանը

Նախքան էսկալացնելը՝ գրեք, թե ինչպես է վերցվել գրառումը՝ ինտերֆեյսը, արդյոք գրառման ընթացքը հաղորդել է կորուստների մասին, և արդյոք ժամանակի նշանները համեմատելի են սենսորների միջև։ Դիտարկման մեկ կետը չի կարող տեսնել ուղու երկու ծայրերը, ուստի ստացողի վարքի մասին ցանկացած պնդում եզրակացություն է, ոչ թե չափում։ Դարպասի վրա վերցված հետքը և հոսթի վրա վերցված հետքը բեռի տակ կտարբերվեն հերթականության հարցում, և այդ տարբերությունը սովորաբար պատկանում է գրառմանը, ոչ թե թունելին։ Երկու տեսքի համադրումն է, որ հաշվարկը վերածում է ապացույցի։

Օգտագործեք մեկ թույլատրված հավելվածային հոսք և նույն պահին գրանցեք վերջնակետերի հաշվիչները գրառման հաշվարկների կողքին։ Եթե թվերը չեն համընկնում, վստահեք այն շերտին, որը տիրապետում է իրադարձությանը, և մյուսը համարեք դիտարկման արտեֆակտ, քանի դեռ հակառակը ապացուցված չէ։ Այդ կանոնը լուծում է այս դեպքերի մեծ մասը՝ առանց թունելի կարգավորումը դիպչելու։

Թվերի ընթերցումը ճիշտ հերթականությամբ

Սկսեք այն շերտից, որտեղ տրվել է հարցը՝ TCP նախազգուշացմանը պատասխանում են TCP գրառումից, իսկ ESP մերժմանը՝ դարպասի անվտանգության ասոցիացիայի հաշվիչներից։ Միայն դրանից հետո հարցրեք՝ արդյոք երկու տեսքերը նկարագրում են նույն փաթեթը։ Երկու շերտ պահանջող եզրակացությունը պետք է նշի երկուսին էլ, քանի որ թունելի մասին միայն TCP նշումի վրա հենված պնդումը ենթադրություն է։

Յուրաքանչյուր գտածոյի համար գրանցեք շերտը, հաշվիչը և դիտարկման կետը, և հաջորդ ընթերցողը չի միաձուլի երեք իրադարձություն մեկ երևակայական խափանման մեջ։ Էսկալացրեք այդ երեք դաշտերով, և ուղղումը սովորաբար բխում է առաջինից։