TCP кайра жөнөтүүлөрү IPsec кайталоодон баш тартууларга каршы: ар бир катмарды окуңуз

Үч түрдүү курал үч түрдүү кайталоону билдирет, жана алардын бирөө гана сиз аракет кыла ала турган тармактык окуя. TCP кайра жөнөтүү — жөнөтүүчүнүн диапазонду кайра жөнөтүшү, кайталанган ACK — кабыл алуучунун ырастоону кайталашы, ал эми ESP кайталоодон баш тартуу — коопсуздук бирикмесинин мурун кабыл алган ырааттуулук номеринен баш тартышы. Үчөөнүн эч бири калгандарын билдирбейт. Аларды бир окуяга бириктирүүдөн мурун ар бир эсептегичти аны жараткан катмарда окуңуз.

Эч качан бир окуяны өлчөбөгөн үч эсептегич

TCP кайра жөнөтүү белгиси жөнөтүүчү ырааттуулук диапазонун кайра зымга салганын билдирет. Жоготуу анын бир себеби, жана сиздеги жазууда баштапкы пакет же убакытты түшүндүргөн ырастоо жок болушу мүмкүн. Кайталанган ACK — кабыл алуучунун TCP калыбына келтирүү эрежелери боюнча жыйынтыктоочу ырастоону кайталашы, бул эч колдонмонун кайталанма жазуусу эмес, эч маалыматтын экинчи көчүрмөсү да эмес.

ESP өзүнүн ырааттуулук мейкиндигинде иштейт. Ар бир коопсуздук бирикмеси жөнөткөн пакеттерин номурлайт, ал эми кабыл алуучу мурун кабыл алган номерлердин терезесин кармайт, ошондуктан эки жолу келген ESP пакети ушул эрежелердин негизинде эле ыргытылат. Ошондуктан кайра жөнөтүлгөн TCP сегменти жаңы ырааттуулук номери бар жаңы ESP пакетинде жүрөт, бул эки катмарда тең туура жүрүм-турум. Ошол эле байттар бир эсептегичте жаңы, экинчисинде эски көрүнүшү мүмкүн, жана эч бир катмар калп айтпайт.

Анализатор эмнени көрө алат, эмнени көрө албайт

Анализатордун сөздүгүнөн баштаңыз, анткени чыпка аттары акыркы чекиттердин ички бөлүгүн эмес, байкоолорду сүрөттөйт. Курал колдонгон ошол эле аттар менен эсептөө сизди чындыгында эмне өлчөнгөнү тууралуу чынчыл кармайт. Толук эмес жазуудан алынган сан — зымда болгондун эмес, аман калгандын саны.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Ошол сандардын жанындагы эксперттик маалыматты окуңуз, анткени текшерүү суммасы жана тартип тууралуу эскертүүлөр алар канчалык салмакка татыктуу экенин өзгөртөт. Эки сенсордун бириктирилген изи бир кадрды эки жолу көрсөтүшү мүмкүн, ал эми эки көчүрмөнү тең эсептөө эч качан болбогон калыбына келтирүү окуясын ойдон чыгарат.

ESP эсептегичтери ядро абалында жашайт

ESP ырааттуулук номерлери TCP агымына эмес, коопсуздук бирикмесине таандык, ошондуктан шлюз — сураш керек болгон жер. Абал тизмеси ар бир бирикме боюнча пакет жана ката эсептегичтерин билдирет, аларды эч бир жазуу калыбына келтире албайт.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 ырааттуулук номерин жана аны керектеген кайталоого каршы терезени аныктайт, ошондуктан эч нерсе туура эмес болбосо да эсептегич өсөт. Тийиштүү TCP аномалиясыз монотондук тышкы ырааттуулук номерлери кайра жөнөтүү бороонуна эмес, башка жөнөтүүчүгө же кайталанган жолго көрсөтөт. Шифрленген тоннелдин тышкы жазуусу адатта ички TCP ырааттуулук номерлерин жашырат, ошондуктан ички стек эмне кылганын далилдей албайт. Тоннелдин ичинде саясат уруксат берген жерде гана жазыңыз, жана байланышсыз эскертүүнү басуу үчүн кайталоого каршы коргоону эч качан өчүрбөңүз.

Байкоо чекити жоопту кайда өзгөртөт

Эскалациялоодон мурун жазуу кантип алынганын жазыңыз: интерфейс, жазуу процесси жоготууларды билдирдиби, жана убакыт белгилери сенсорлордун ортосунда салыштырмалуубу. Бир байкоо чекити жолдун эки учунун тең көрө албайт, ошондуктан кабыл алуучунун жүрүм-туруму тууралуу ар кандай билдирүү өлчөө эмес, корутунду. Шлюзде алынган из жана хостто алынган из жүктөм астында тартип боюнча макулдашпайт, жана бул келишпестик адатта тоннелге эмес, жазууга таандык. Эки көрүнүштү корреляциялоо — санды далилге айландырган нерсе.

Бир уруксат берилген колдонмо агымын колдонуп, ошол эле учурда жазуу сандарынын жанына акыркы чекиттердин эсептегичтерин жазыңыз. Сандар дал келбесе, окуяга ээ болгон катмарга ишениңиз, экинчисин тескериси далилденгенге чейин байкоо артефакты деп эсептеңиз. Бул эреже ушул билеттердин көбүн тоннелдин конфигурациясына тийбестен чечет.

Сандарды туура тартипте окуу

Суроо берилген катмардан баштаңыз: TCP эскертүүсүнө TCP жазуусунан жооп берилет, ал эми ESP ыргытылышына шлюздеги коопсуздук бирикмесинин эсептегичтеринен жооп берилет. Ошондон кийин гана эки көрүнүш бир пакетти сүрөттөйбү деп сураңыз. Эки катмарды талап кылган корутунду экөөнү тең аташы керек, анткени тоннел жөнүндөгү TCP белгисине гана таянган билдирүү — божомол.

Ар бир табылга үчүн катмарды, эсептегичти жана байкоо чекитин жазыңыз, кийинки окуучу үч окуяны бир ойдон чыгарылган бузулушка бириктирбейт. Ушул үч талаа менен эскалациялаңыз, ал эми оңдоо адатта биринчисинен келип чыгат.