TCP қайта жіберулері IPsec қайталаудан бас тартуларға қарсы: әр қабатты оқыңыз

Үш түрлі құрал үш түрлі қайталауды хабарлайды, және олардың тек біреуі ғана сіз әрекет ете алатын желілік оқиға. TCP қайта жіберу — жіберушінің диапазонды қайта жіберуі, қайталанған ACK — қабылдаушының растауды қайталауы, ал ESP қайталаудан бас тарту — қауіпсіздік қауымдастығының бұрын қабылдаған реттік нөмірден бас тартуы. Үшеуінің ешқайсысы қалғандарын білдірмейді. Оларды бір әңгімеге біріктірер алдында әр санауышты оны жасайтын қабатта оқыңыз.

Ешқашан бір оқиғаны өлшейтін үш санауыш

TCP қайта жіберу белгісі жіберушінің реттік диапазонды қайтадан сымға салғанын білдіреді. Жоғалту соның бір себебі, ал сіздегі жазбада түпнұсқа пакет немесе уақытты түсіндіретін растау жоқ болуы мүмкін. Қайталанған ACK — қабылдаушының TCP қалпына келтіру ережелері бойынша жиынтық растауды қайталауы, бұл не қолданбаның қайталама жазуы, не деректердің екінші көшірмесі емес.

ESP өзінің реттік кеңістігінде жұмыс істейді. Әр қауіпсіздік қауымдастығы жіберетін пакеттерін нөмірлейді, ал қабылдаушы бұрын қабылдаған нөмірлер терезесін ұстайды, сондықтан екі рет келген ESP пакеті осы ережелердің негізінде ғана тасталады. Сондықтан қайта жіберілген TCP сегменті жаңа реттік нөмірі бар жаңа ESP пакетінде жүреді, бұл екі қабатта да дұрыс мінез-құлық. Бір байттар бір санауышта жаңа, екіншісінде ескі көрінуі мүмкін, және ешбір қабат өтірік айтпайды.

Анализатор нені көре алады, нені көре алмайды

Анализатордың сөздігінен бастаңыз, өйткені сүзгі атаулары соңғы нүктелердің ішін емес, байқауларды сипаттайды. Құрал қолданатын сол аттармен санау сізді шын мәнінде не өлшенгені туралы адал ұстайды. Толық емес жазбадан алынған сан — сымда болғанның емес, аман қалғанның саны.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Сол сандардың жанындағы сараптамалық ақпаратты оқыңыз, өйткені бақылау қосындысы мен рет туралы ескертулер олардың қаншалықты салмаққа лайық екенін өзгертеді. Екі сенсордың біріктірілген ізі бір кадрды екі рет көрсетуі мүмкін, ал екі көшірмені де санау ешқашан болмаған қалпына келтіру оқиғасын ойдан шығарады.

ESP санауыштары ядро күйінде өмір сүреді

ESP реттік нөмірлері TCP ағынына емес, қауіпсіздік қауымдастығына тиесілі, сондықтан шлюз — сұрауға тиіс орын. Күй тізімі әр қауымдастық бойынша пакет пен қате санауыштарын хабарлайды, оларды ешбір жазба қалпына келтіре алмайды.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 реттік нөмірді және оны тұтынатын қайталауға қарсы терезені анықтайды, сондықтан ешнәрсе дұрыс болмаса да санауыш өседі. Сәйкес TCP ауытқуынсыз монотонды сыртқы реттік нөмірлер қайта жіберу дауылына емес, басқа жіберушіге немесе қайталанған жолға нұсқайды. Шифрланған туннельдің сыртқы жазбасы әдетте ішкі TCP реттік нөмірлерін жасырады, сондықтан ішкі стек не істегенін дәлелдей алмайды. Туннель ішінде тек саясат рұқсат ететін жерде ғана жазыңыз, және байланыссыз ескертуді өшіру үшін қайталауға қарсы қорғанысты ешқашан сөндірмеңіз.

Бақылау нүктесі жауапты қайда өзгертеді

Эскалациялау алдында жазбаның қалай алынғанын жазыңыз: интерфейс, жазу процесі жоғалтулар туралы хабарлады ма, және уақыт белгілері сенсорлар арасында салыстырмалы ма. Бір бақылау нүктесі жолдың екі ұшын да көре алмайды, сондықтан қабылдаушының мінез-құлқы туралы кез келген тұжырым өлшем емес, қорытынды. Шлюзде алынған із бен хостта алынған із жүктеме кезінде рет туралы келіспейді, және бұл келіспеушілік әдетте туннельге емес, жазбаға тиесілі. Екі көріністі корреляциялау — санды дәлелге айналдыратын нәрсе.

Бір рұқсат етілген қолданба ағынын пайдаланып, сол сәтте жазба сандарының жанына соңғы нүктелердің санауыштарын жазыңыз. Сандар сәйкес келмесе, оқиғаға ие қабатқа сеніңіз, ал екіншісін керісінше дәлелденгенге дейін бақылау артефактісі деп қараңыз. Бұл ереже осы билеттердің көбін туннель конфигурациясына тиіспей-ақ шешеді.

Сандарды дұрыс ретпен оқу

Сұрақ қойылған қабаттан бастаңыз: TCP ескертуіне TCP жазбасынан жауап беріледі, ал ESP тасталуына шлюздегі қауіпсіздік қауымдастығының санауыштарынан жауап беріледі. Содан кейін ғана екі көріністің бір пакетті сипаттайтынын сұраңыз. Екі қабатты қажет ететін қорытынды екеуін де атауы керек, өйткені туннель туралы тек TCP белгісіне сүйенген тұжырым — болжам.

Әр табылым үшін қабатты, санауышты және бақылау нүктесін жазыңыз, келесі оқырман үш оқиғаны бір ойдан шығарылған ақауға біріктірмейді. Осы үш өріспен эскалациялаңыз, ал түзету әдетте біріншісінен туындайды.