TCP повторни преноси наспроти одбивања на повторувања во IPsec: читајте го секој слој

Три различни алатки пријавуваат три различни дупликати, и само еден од нив е мрежен настан на кој можете да дејствувате. TCP повторен пренос е испраќач што повторно испраќа опсег, дупликат ACK е примач што повторува потврда, а одбивање на ESP повторување е безбедносна асоцијација што одбива редоследен број што веќе го прифатила. Ниту еден од трите не имплицира некој од другите. Читајте го секој бројач на слојот што го создава пред да ги поврзете во една приказна.

Три бројачи што никогаш не мерат ист настан

Ознаката за TCP повторен пренос значи дека испраќачот повторно ставил редоследен опсег на жицата. Загубата е една од причините за тоа, а записот што го имате може едноставно да го нема оригиналниот пакет или потврдата што би го објаснила времето. Дупликат ACK е примачот што според правилата за закрепнување на TCP повторува кумулативна потврда, што не е ниту дупликат запис на апликацијата, ниту втора копија од податоците.

ESP работи во сопствен простор на редослед. Секоја безбедносна асоцијација ги нумерира пакетите што ги испраќа, а примачот држи прозорец од броеви што веќе ги прифатил, па ESP пакет што пристигнува двапати се отфрла само врз тие правила. Затоа повторно испратен TCP сегмент патува во нов ESP пакет со нов редоследен број, што е правилно однесување на двата слоја. Истите бајти можат да изгледаат нови во еден бројач, а стари во друг, и ниту еден слој не лаже.

Што може, а што не може да види анализаторот

Започнете со вокабуларот на анализаторот, бидејќи имињата на филтрите опишуваат набљудувања, а не внатрешноста на крајните точки. Броењето со истите имиња што ги користи алатката ве држи искрени за тоа што всушност е измерено. Број од нецелосен запис е број на преживеаното, а не на тоа што се случило на жицата.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Читајте ја експертската информација до тие броеви, бидејќи предупредувањата за контролна сума и редослед менуваат колкава тежина заслужуваат. Споена трага од два сензори може да прикаже една рамка двапати, а броењето на двете копии измислува настан за закрепнување што никогаш не се случил.

ESP бројачите живеат во состојбата на јадрото

ESP редоследните броеви и припаѓаат на безбедносната асоцијација, не на TCP текот, па портата е местото каде што треба да се праша. Списокот на состојба пријавува бројачи на пакети и грешки по асоцијација што ниту еден запис не може да ги реконструира.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 го дефинира редоследниот број и прозорецот против повторување што го троши, поради што бројачот расте и кога ништо не е погрешно. Монотони надворешни редоследни броеви без соодветна TCP аномалија укажуваат на друг испраќач или дуплирана рута, а не на бура од повторни преноси. Надворешен запис на шифриран тунел обично ги крие внатрешните TCP редоследни броеви, па не може да докаже што направил внатрешниот стек. Снимајте внатре во тунелот само таму каде што политиката дозволува, и никогаш не исклучувајте заштита од повторување за да замолчите неврзано предупредување.

Каде точката на набљудување го менува одговорот

Пред да ескалирате, запишете како е направен записот: интерфејсот, дали процесот на снимање пријавил загуби и дали временските ознаки се споредливи меѓу сензорите. Една точка на набљудување не може да ги види двата краја на рутата, па секоја изјава за однесувањето на примачот е заклучок, а не мерење. Трага земена на портата и трага земена на домаќинот ќе се разидуваат за редоследот под оптоварување, и тоа разидување обично и припаѓа на снимката, а не на тунелот. Корелирањето на два погледа е она што броењето го претвора во доказ.

Користете еден дозволен тек на апликација и запишете ги бројачите на крајните точки до броевите од снимката во истиот момент. Ако броевите не се совпаѓаат, верувајте му на слојот што го поседува настанот, а другиот третирајте го како артефакт од набљудувањето додека не се докаже спротивното. Тоа правило ги решава повеќето од овие случаи без допирање на конфигурацијата на тунелот.

Читање на броевите во правилен редослед

Започнете од слојот каде што е поставено прашањето: на TCP предупредување се одговара од TCP снимка, а на ESP одбивање се одговара од бројачите на безбедносната асоцијација на портата. Дури потоа прашајте дали двата погледа опишуваат ист пакет. Заклучокот што бара два слоја треба да ги именува двата, бидејќи тврдењето за тунелот што почива само на TCP ознака е претпоставка.

Запишете го слојот, бројачот и точката на набљудување за секој наод, и следниот читател нема да спои три настани во еден измислен дефект. Ескалирајте со тие три полиња, и исправката обично произлегува од првото.