Conntrack NEW op engem ACK-Paket: wat et net beweist

Am Firewall-Log steet eng Zeil, déi Dir net erwaart hutt: en ACK-Paket, Conntrack-Zoustand NEW, eng Quelladress déi net Är ass, Zilport op. D’Versuchung ass, et als nei erakommend Verbindung ze liesen, déi keen autoriséiert huet. Wat d’Zeil tatsächlech seet, ass méi enk: wéi dee Paket dësen Hook erreecht huet, hat den Tracker kee passenden Zoustand, an de Paket huet en ACK gedroen. Dat sinn zwou Tatsaachen iwwer zwee verschidde Saachen, an keng vun deenen zwee ass eng komplett Transkriptioun vun engem Handschlag. Hei ass d’Reiefolleg, déi ech duerchginn, ier ech eng Konklusioun zéien.

Fänkt mam Paket un, net mam Verdikt

Trennt d’Observatiounen, ier Dir se interpretéiert. D’TCP-Flags beschreiwen dëse Paket, den Zoustand vum Tracker beschreift wat hien op deem Hook wousst, an Är Opnam beschreift nëmmen d’Fënster, déi Dir opgeholl hutt.

Dës dräi ze vermëschen ass de Wee, wéi aus engem ACK „de Provider huet een eragelooss“ gëtt.

Wat NEW um Hook wierklech bedeit

Den iptables-Conntrack-Iwwersetzen dokumentéiert NEW als e Paket, deen eng Verbindung ufänkt, oder een, deen zu enger Verbindung gehéiert, déi nach kee Verkéier a béide Richtungen gesinn huet. ESTABLISHED heescht, den Tracker huet Paketen a béide Richtungen gesinn. Keng vun den zwou Definitiounen seet, dass de Paket en SYN war, an och net, dass en ouni Geschicht ukomm ass.

En Tracker, deen ufänkt e Floss an der Mëtt ze observéieren, klasséiert de nächste Paket no deem wat en weess, an dat kann näischt sinn. Dat ass eng Ausso iwwer d’Gediechtnis vum Tracker, net iwwer d’Absicht vum wäitem Host.

Luese Tracking erkläert déi meescht ACK-Iwwerraschungen

De Kernel dokumentéiert nf_conntrack_tcp_loose, wat den Tracker TCP-Verbindungen ophuele léisst, déi en net ufänke gesinn huet. Mat der Astellung op hirem Standardwäert kann en ACK aus der Mëtt vum Floss als etabléierte Floss ugeholl ginn. Schalt se aus, an dee selwechte Paket gëtt méi wahrscheinlech als INVALID amplaz NEW klasséiert. Béid Resultater beschreiwen d’Reegele vum Tracker, net d’Geschicht vun der Applikatioun.

Also kontrolléiert déi Astellung, ier Dir eng Theorie op de Label baut.

Schléisst déi langweileg Ursaachen an dëser Reiefolleg aus

Déi meescht NEW-op-ACK-Evenementer, deenen ech nogang sinn, sinn an enger vun dësen opgehalen, an all si bëlleg ze kontrolléieren:

• D’Conntrack-Tabell gouf eidel gemaach, oder den Tracker gouf nei gestart.
• Den Host gouf nei gestart, oder de Floss ass an en aneren Namespace oder Apparat geplënnert.
• Asymmetresch Routing huet den SYN iwwer e Wee erausgeschéckt, deen Dir net opgeholl hutt.
• NAT huet den Tuple nei geschriwwen, sou datt den Entrée net méi mat deem passt, wat Dir geliest hutt.
• D’Opnam huet spéit ugefaangen an huet den Ufank ni gesinn.

Jiddereen vun dëse entfernt déi fréier Paketen aus dem Bléckwénkel vum Tracker an léisst déi spéider onberéiert. En Neistart oder en Eidelmaachen vun der Tabell ass am einfachsten aus Uptime a Loggen ze bestätegen. Asymmetresch Routing weist sech als eenrichtung Opnam. NAT ass de heimtückeschen, well den Tuple, deen den Tracker gespäichert huet, net deen Tuple ass, deen am Log gedréckt steet.

Schreift op, wat Dir vun dësen ausgeschloss hutt, a wéi, ier Dir weidergitt.

Liest den Tuple, den Interface an den Hook

En Conntrack-Entrée gëtt duerch Adressen, Porten a Protokoll bestëmmt, also ännert all Iwwersetzung, wéi en Entrée passt. Notéiert och den Interface an den Hook, well e Paket, deen op deem falschen Interface oder no enger anerer Kette gesi gëtt, seet Iech, dass de Wee net dee vum Diagramm ass. Wann den Evenement eng VPN betrëfft, entscheet, ob Dir den banneschten Paket oder den äusseren Träger kuckt. Vergläicht dann mat deem, wat den Gateway fir dee selwechte fënnefdeelegen Tuple geloggt huet.

Zwou Usiichten op ee Floss, déi sech widerspriechen, si méi informativ wéi jidderee vun deenen zwou eleng.

Wéini et sech lount ze eskaléieren

Eskaléiert, wann Dir e Service ka weisen, deen erreechbar ass an et net sollt sinn, mam Floss, der Politik déi et erlaabt huet an de Beweiser vun deenen zwou Säiten. Mellt keen Defekt vum Provider op Basis vun engem eenzegen Zoustands-Label oder enger eenzeger deelweis Opnam, well dee Rapport mat der Erklärung zougemaach gëtt, déi Dir just geliest hutt. Wann de Service wierklech exponéiert ass, ass den Eegentümer vun där Grenz déi richteg Persoun fir et ze flécken, an eng delegéiert Port-Mapping oder en ongewollte Lauschterer ass eng méi wahrscheinlech Ursaach wéi e Bug.

Schléisst dann d’Siichtbarkeetslück, dat ee Paket wéi eng ganz Sessioun ausgesi léisst.