TCP atkārtotas pārraides pret IPsec atkārtojumu noraidījumiem: lasiet katru slāni

Trīs dažādi rīki ziņo par trim dažādiem dublikātiem, un tikai viens no tiem ir tīkla notikums, uz kuru varat reaģēt. TCP atkārtota pārraide ir sūtītājs, kas vēlreiz sūta diapazonu, dublēts ACK ir uztvērējs, kas atkārto apstiprinājumu, un ESP atkārtojumu noraidījums ir drošības asociācija, kas noraida jau pieņemtu secības numuru. Neviens no trim neizriet no pārējiem. Lasiet katru skaitītāju tajā slānī, kas to rada, pirms savienojat tos vienā stāstā.

Trīs skaitītāji, kas nekad nemēra vienu un to pašu notikumu

TCP atkārtotas pārraides atzīme nozīmē, ka sūtītājs atkal ievietoja secības diapazonu vadā. Zudums ir viens no iemesliem, un jūsu rīcībā esošajā ierakstā var vienkārši trūkt sākotnējā paketa vai apstiprinājuma, kas izskaidrotu laiku. Dublēts ACK ir uztvērējs, kas saskaņā ar TCP atkopšanas noteikumiem atkārto kumulatīvo apstiprinājumu, un tas nav ne dublēts lietojumprogrammas ieraksts, ne otra datu kopija.

ESP darbojas savā secības telpā. Katra drošības asociācija numurē sūtītos paketus, un uztvērējs uztur jau pieņemtu numuru logu, tāpēc ESP pakets, kas ierodas divreiz, tiek izmests tikai uz šo noteikumu pamata. Tāpēc atkārtoti sūtīts TCP segments ceļo jaunā ESP paketā ar jaunu secības numuru, kas ir pareiza uzvedība abos slāņos. Tie paši baiti vienā skaitītājā var izskatīties jauni, citā – veci, un neviens slānis nemelo.

Ko analizators var un ko nevar redzēt

Sāciet ar analizatora vārdu krājumu, jo filtru nosaukumi apraksta novērojumus, nevis galapunktu iekšieni. Skaitīšana ar tiem pašiem nosaukumiem, ko izmanto rīks, notur jūs godīgus par to, kas patiešām tika mērīts. Skaitlis no nepilnīga ieraksta ir pārdzīvojušā, nevis vadā notikušā skaitlis.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Lasiet eksperta informāciju blakus šiem skaitļiem, jo kontrolsummas un kārtības brīdinājumi maina, cik lielu svaru tie pelnījuši. Divu sensoru apvienotais pēdas var parādīt vienu kadru divreiz, un abu kopiju skaitīšana izdomā atkopšanas notikumu, kas nekad nav noticis.

ESP skaitītāji dzīvo kodola stāvoklī

ESP secības numuri pieder drošības asociācijai, nevis TCP plūsmai, tāpēc vārteja ir vieta, kur jautāt. Stāvokļa saraksts ziņo par katras asociācijas paketu un kļūdu skaitītājiem, kurus neviens ieraksts nevar rekonstruēt.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 definē secības numuru un to patērējošo aizsardzības pret atkārtojumiem logu, tāpēc skaitītājs aug arī tad, kad nekas nav nepareizi. Monotoniski ārējie secības numuri bez atbilstošas TCP anomālijas norāda uz citu sūtītāju vai dublētu ceļu, nevis uz atkārtotu pārraižu vētru. Šifrēta tuneļa ārējais ieraksts parasti slēpj iekšējos TCP secības numurus, tāpēc tas nevar pierādīt, ko darīja iekšējais steks. Ierakstiet tuneļa iekšpusē tikai tur, kur politika atļauj, un nekad neizslēdziet aizsardzību pret atkārtojumiem, lai apklusinātu nesaistītu brīdinājumu.

Kur novērošanas punkts maina atbildi

Pirms eskalējat, pierakstiet, kā ieraksts tika veikts: saskarne, vai ierakstīšanas process ziņoja par zudumiem un vai laika zīmes ir salīdzināmas starp sensoriem. Viens novērošanas punkts nevar redzēt abus ceļa galus, tāpēc jebkurš apgalvojums par uztvērēja uzvedību ir secinājums, nevis mērījums. Uz vārtejas veikts pēdas un uz resursdatora veikts pēdas nesaskaņos par kārtību slodzes laikā, un šī nesaskaņa parasti pieder ierakstam, nevis tunelim. Divu skatu korelēšana ir tas, kas skaitli pārvērš pierādījumā.

Izmantojiet vienu atļautu lietojumprogrammas plūsmu un pierakstiet galapunktu skaitītājus blakus ieraksta skaitļiem tajā pašā mirklī. Ja skaitļi nesakrīt, uzticieties slānim, kuram pieder notikums, un otru uzskatiet par novērojuma artefaktu, līdz tiek pierādīts pretējais. Šis noteikums atrisina lielāko daļu šādu gadījumu, neaiztiekot tuneļa konfigurāciju.

Skaitļu lasīšana pareizajā secībā

Sāciet ar slāni, kurā tika uzdots jautājums: uz TCP brīdinājumu atbild no TCP ieraksta, un uz ESP noraidījumu atbild no drošības asociācijas skaitītājiem uz vārtejas. Tikai tad jautājiet, vai abi skati apraksta vienu un to pašu paketu. Secinājumam, kam vajadzīgi abi slāņi, jānosauc abi, jo apgalvojums par tuneli, kas balstīts tikai uz TCP atzīmi, ir minējums.

Pierakstiet slāni, skaitītāju un novērošanas punktu katram atradumam, un nākamais lasītājs nesaus trīs notikumus vienā izdomātā bojājumā. Eskalējiet ar šiem trim laukiem, un labojums parasti izriet no pirmā.