TCP გადაგზავნები IPsec გამეორების უარყოფების წინააღმდეგ: წაიკითხეთ ყოველი შრე

სამი განსხვავებული ინსტრუმენტი სამ განსხვავებულ დუბლიკატს იუწყება და მათგან მხოლოდ ერთია ქსელური მოვლენა, რომელზეც შეგიძლიათ იმოქმედოთ. TCP გადაგზავნა არის გამომგზავნი, რომელიც დიაპაზონს ხელახლა აგზავნის, დუბლირებული ACK არის მიმღები, რომელიც დადასტურებას იმეორებს, ხოლო ESP გამეორების უარყოფა არის უსაფრთხოების ასოციაცია, რომელიც უკვე მიღებულ მიმდევრობის ნომერს უარყოფს. სამიდან არც ერთი არ გულისხმობს სხვებს. სანამ მათ ერთ ამბავში გააერთიანებთ, წაიკითხეთ ყოველი მთვლელი იმ შრეზე, რომელიც მას ქმნის.

სამი მთვლელი, რომლებიც არასოდეს ზომავენ ერთსა და იმავე მოვლენას

TCP გადაგზავნის ანოტაცია ნიშნავს, რომ გამომგზავნმა მიმდევრობის დიაპაზონი კვლავ დაადო ხაზს. დაკარგვა ამის ერთი მიზეზია, და თქვენს ხელში არსებულ ჩანაწერს შეიძლება უბრალოდ აკლდეს საწყისი პაკეტი ან დადასტურება, რომელიც დროს ახსნიდა. დუბლირებული ACK არის მიმღები, რომელიც TCP აღდგენის წესებით კუმულაციურ დადასტურებას იმეორებს, რაც არც აპლიკაციის დუბლირებული ჩაწერაა და არც მონაცემების მეორე ასლი.

ESP საკუთარ მიმდევრობის სივრცეში მუშაობს. ყოველი უსაფრთხოების ასოციაცია თავის გაგზავნილ პაკეტებს ნომრავს და მიმღები უკვე მიღებული ნომრების ფანჯარას ინახავს, ამიტომ ორჯერ მოსული ESP პაკეტი მხოლოდ ამ წესების საფუძველზე იხსნება. ამიტომ ხელახლა გაგზავნილი TCP სეგმენტი ახალი მიმდევრობის ნომრის მქონე ახალ ESP პაკეტში მოძრაობს, რაც ორივე შრეზე სწორი ქცევაა. ერთი და იგივე ბაიტები ერთ მთვლელში ახლად და მეორეში ძვლად შეიძლება გამოიყურებოდეს, და არც ერთი შრე არ იტყუება.

რას ხედავს ანალიზატორი და რას არა

დაიწყეთ ანალიზატორის ლექსიკით, რადგან ფილტრების სახელები დაკვირვებებს აღწერს და არა ბოლო წერტილების შიგნეულობას. იმავე სახელებით დათვლა, რომლებსაც ინსტრუმენტი იყენებს, გულახდილად გიტოვებთ იმაში, თუ რა გაიზომა სინამდვილეში. არასრული ჩანაწერიდან მიღებული რაოდენობა გადარჩენილის რაოდენობაა, და არა იმის, რაც ხაზზე მოხდა.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

წაიკითხეთ ექსპერტული ინფორმაცია იმ რიცხვების გვერდით, რადგან საკონტროლო ჯამისა და რიგის გაფრთხილებები ცვლის, რამდენ წონას იმსახურებენ. ორი სენსორის გაერთიანებული კვალი შეიძლება ერთი კადრი ორჯერ აჩვენოს, და ორივე ასლის დათვლა იგონებს აღდგენის მოვლენას, რომელიც არასოდეს მომხდარა.

ESP მთვლელები ბირთვის მდგომარეობაში ცხოვრობენ

ESP მიმდევრობის ნომრები უსაფრთხოების ასოციაციას ეკუთვნის და არა TCP ნაკადს, ამიტომ კარიბჭეა ადგილი, სადაც უნდა იკითხოთ. მდგომარეობის სია აცხადებს ასოციაციაზე პაკეტისა და შეცდომის მთვლელებს, რომლებსაც ვერც ერთი ჩანაწერი ვერ აღადგენს.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 განსაზღვრავს მიმდევრობის ნომერს და მის მომხმარებელ გამეორების საწინააღმდეგო ფანჯარას, ამიტომ მთვლელი იზრდება მაშინაც, როცა არაფერია არასწორად. მონოტონური გარე მიმდევრობის ნომრები შესაბამისი TCP ანომალიის გარეშე სხვა გამომგზავნზე ან გაორმაგებულ გზაზე მიუთითებს და არა გადაგზავნების ქარიშხალზე. დაშიფრული გვირაბის გარე ჩანაწერი ჩვეულებრივ მალავს შიდა TCP მიმდევრობის ნომრებს, ამიტომ ვერ დაამტკიცებს, რა გააკეთა შიდა სტეკმა. ჩაწერეთ გვირაბის შიგნით მხოლოდ იქ, სადაც პოლიტიკა იძლევა საშუალებას, და არასოდეს გამორთოთ გამეორების დაცვა უკავშირო გაფრთხილების ჩასახშობად.

სად ცვლის დაკვირვების წერტილი პასუხს

ესკალაციამდე ჩამოწერეთ, როგორ იქნა ჩანაწერი აღებული: ინტერფეისი, აცხადებდა თუ არა ჩაწერის პროცესი დანაკარგებს და შედარებადია თუ არა დროის ნიშნები სენსორებს შორის. დაკვირვების ერთი წერტილი ვერ ხედავს გზის ორივე ბოლოს, ამიტომ მიმღების ქცევაზე ყოველი განცხადება დასკვნაა და არა გაზომვა. კარიბჭეზე აღებული კვალი და ჰოსტზე აღებული კვალი დატვირთვის ქვეშ რიგზე არ შეთანხმდებიან, და ეს უთანხმოება ჩვეულებრივ ჩანაწერს ეკუთვნის და არა გვირაბს. ორი ხედვის კორელაცია არის ის, რაც რაოდენობას მტკიცებულებად აქცევს.

გამოიყენეთ ერთი ნებადართული აპლიკაციის ნაკადი და ჩაწერეთ ბოლო წერტილების მთვლელები ჩანაწერის რიცხვების გვერდით იმავე მომენტში. თუ რიცხვები არ ემთხვევა, ენდეთ იმ შრეს, რომელიც ფლობს მოვლენას, და მეორე განიხილეთ დაკვირვების არტეფაქტად, სანამ საწინააღმდეგო დამტკიცდება. ეს წესი ამ შემთხვევების უმეტესობას წყვეტს გვირაბის კონფიგურაციაზე ხელის შეხების გარეშე.

რიცხვების სწორი თანმიმდევრობით კითხვა

დაიწყეთ იმ შრიდან, სადაც კითხვა დაისვა: TCP გაფრთხილებას პასუხობენ TCP ჩანაწერიდან, ხოლო ESP უარყოფას პასუხობენ კარიბჭეზე უსაფრთხოების ასოციაციის მთვლელებიდან. მხოლოდ ამის შემდეგ იკითხეთ, აღწერენ თუ არა ორი ხედვა ერთსა და იმავე პაკეტს. დასკვნამ, რომელსაც ორივე შრე სჭირდება, ორივე უნდა დაასახელოს, რადგან გვირაბზე მხოლოდ TCP ანოტაციაზე დაყრდნობილი მტკიცება ვარაუდია.

ყოველი აღმოჩენისთვის ჩაწერეთ შრე, მთვლელი და დაკვირვების წერტილი, და შემდეგი მკითხველი სამ მოვლენას ერთ გამოგონილ გაუმართაობაში არ შეაერთებს. ამ სამი ველით ესკალაცია მოახდინეთ და გასწორება ჩვეულებრივ პირველიდან მოდის.