TCP-endursendingar á móti IPsec-endurspilunarhöfnum: lestu hvert lag

Þrjú ólík verkfæri tilkynna þrjú ólík tvítekningar, og aðeins eitt þeirra er netatburður sem þú getur brugðist við. TCP-endursending er sendandi sem sendir svið aftur, tvítekið ACK er móttakandi sem endurtekur staðfestingu, og ESP-endurspilunarhöfnun er öryggissamtenging sem hafnar raðnúmeri sem hún hefur þegar samþykkt. Ekkert þeirra þriggja felur í sér hin. Lestu hvern teljara á því lagi sem framleiðir hann áður en þú tengir þá í eina sögu.

Þrír teljarar sem mæla aldrei sama atburðinn

TCP-endursendingarmerkingin þýðir að sendandinn setti raðsvið aftur á vírinn. Tap er ein ástæða þess, og skráningin sem þú hefur gæti einfaldlega vantað upprunalega pakkann eða staðfestinguna sem myndi útskýra tímasetninguna. Tvítekið ACK er móttakandinn sem endurtekur uppsafnaða staðfestingu samkvæmt endurheimtunarreglum TCP, sem er hvorki tvítekin forritsskrif né önnur eintak gagnanna.

ESP vinnur í eigin raðrúmi. Hver öryggissamtenging númerar pakkana sem hún sendir, og móttakandinn heldur glugga yfir númer sem hann hefur þegar samþykkt, svo ESP-pakki sem kemur tvisvar er hent á þeim forsendum einum. Þess vegna fer endursend TCP-brot í nýjum ESP-pakka með nýju raðnúmeri, sem er rétt hegðun á báðum lögum. Sömu bætin geta litið ný út í einum teljara og gömul í öðrum, og hvort lag fyrir sig lýgur ekki.

Hvað greinandinn sér og hvað ekki

Byrjaðu á orðaforða greinandans, því síanöfnin lýsa athugunum en ekki innviðum endapunkta. Að telja með sömu nöfnum og verkfærið notar heldur þér heiðarlegum um hvað var í raun mælt. Talning úr ófullkominni skráningu er talning á því sem lifði af, ekki því sem gerðist á vírnum.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Lestu sérfræðiupplýsingarnar við hlið þessara talna, því viðvaranir um gátsummu og röð breyta því hversu mikla þyngd þær eiga skilið. Sameinuð slóð frá tveimur skynjurum getur sýnt einn ramma tvisvar, og að telja bæði eintökin býr til endurheimtunaratburð sem aldrei átti sér stað.

ESP-teljarar lifa í kjarnastöðunni

ESP-raðnúmer tilheyra öryggissamtengingunni, ekki TCP-streyminu, svo gáttin er staðurinn til að spyrja. Stöðulistinn tilkynnir pakka- og villuteljara fyrir hverja samtengingu sem engin skráning getur endurbyggt.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 skilgreinir raðnúmerið og endurspilunarvarnargluggann sem eyðir því, og þess vegna hækkar teljarinn þótt ekkert sé rangt. Einhæf ytri raðnúmer án samsvarandi TCP-óeðlileika benda til annars sendanda eða tvítekinnar leiðar frekar en endursendingarstormar. Ytri skráning á dulkóðuðum göngum felur venjulega innri TCP-raðnúmer, svo hún getur ekki sannað hvað innri stakkurinn gerði. Skráðu inni í göngunum aðeins þar sem stefnan leyfir, og slökktu aldrei á endurspilunarvörn til að þagga niður ótengda viðvörun.

Þar sem athugunarstaðurinn breytir svarinu

Áður en þú skalar upp skaltu skrifa niður hvernig skráningin var tekin: viðmótið, hvort skráningarferlið tilkynnti tap og hvort tímastimplarnir séu sambærilegir milli skynjara. Einn athugunarstaður getur ekki séð báða enda leiðar, svo hver fullyrðing um hegðun móttakandans er ályktun en ekki mæling. Slóð tekin á gáttinni og slóð tekin á hýsilnum verða ósammála um röð undir álagi, og sá ágreiningur tilheyrir venjulega skráningunni en ekki göngunum. Að fylgja tveimur sjónarhornum saman er það sem gerir talningu að sönnunargögnum.

Notaðu eitt leyft forritastreymi og skráðu teljara endapunktanna við hlið talninga skráningarinnar á sama augnabliki. Ef tölurnar eru ósammála skaltu treysta laginu sem á atburðinn og meðhöndla hitt sem athugunargervi þar til hið gagnstæða er sannað. Þessi regla leysir flest þessara mála án þess að snerta stillingar ganganna.

Að lesa tölurnar í réttri röð

Byrjaðu á laginu þar sem spurningin var borin fram: TCP-viðvörun er svarað úr TCP-skráningu, og ESP-höfnun er svarað úr teljurum öryggissamtengingarinnar á gáttinni. Aðeins þá skaltu spyrja hvort sjónarhornin tvö lýsi sama pakkanum. Niðurstaða sem þarf bæði lögin ætti að nefna bæði, því fullyrðing um göngin sem hvílir eingöngu á TCP-merlingu er gisk.

Skráðu lagið, teljarann og athugunarstaðinn fyrir hverja niðurstöðu, og næsti lesandi mun ekki bræða þrjá atburði í eina ímyndaða bilun. Skalaðu upp með þessum þremur sviðum og lagfæringin fylgir venjulega því fyrsta.