TCP പുനഃപ്രേഷണങ്ങളും IPsec റീപ്ലേ നിരാസങ്ങളും: ഓരോ പാളിയും വായിക്കുക

മൂന്ന് വ്യത്യസ്ത ഉപകരണങ്ങൾ മൂന്ന് വ്യത്യസ്ത ഡ്യുപ്ലിക്കേറ്റുകൾ റിപ്പോർട്ട് ചെയ്യുന്നു, അവയിൽ ഒന്ന് മാത്രമാണ് നിങ്ങൾക്ക് നടപടിയെടുക്കാവുന്ന നെറ്റ്വർക്ക് സംഭവം. TCP പുനഃപ്രേഷണം എന്നാൽ അയച്ചയാൾ ഒരു പരിധി വീണ്ടും അയയ്ക്കുന്നത്, ഡ്യുപ്ലിക്കേറ്റ് ACK എന്നാൽ സ്വീകർത്താവ് ഒരു സ്ഥിരീകരണം ആവർത്തിക്കുന്നത്, ESP റീപ്ലേ നിരാസം എന്നാൽ ഒരു സുരക്ഷാ അസോസിയേഷൻ ഇതിനകം സ്വീകരിച്ച ക്രമ നമ്പർ നിരസിക്കുന്നത്. ഇവയിൽ ഒന്നും മറ്റുള്ളവയെ അർത്ഥമാക്കുന്നില്ല. അവയെ ഒരു കഥയായി ചേർക്കുന്നതിന് മുൻപ് ഓരോ കൗണ്ടറും അത് ഉത്പാദിപ്പിക്കുന്ന പാളിയിൽ വായിക്കുക.

ഒരിക്കലും ഒരേ സംഭവം അളക്കാത്ത മൂന്ന് കൗണ്ടറുകൾ

TCP പുനഃപ്രേഷണ അടയാളം അർത്ഥമാക്കുന്നത് അയച്ചയാൾ ഒരു ക്രമ പരിധി വീണ്ടും കമ്പിയിൽ വെച്ചു എന്നാണ്. നഷ്ടം അതിന്റെ ഒരു കാരണമാണ്, നിങ്ങളുടെ കൈവശമുള്ള ക്യാപ്ചറിൽ യഥാർത്ഥ പാക്കറ്റോ സമയം വിശദീകരിക്കുന്ന സ്ഥിരീകരണമോ ഇല്ലായിരിക്കാം. ഡ്യുപ്ലിക്കേറ്റ് ACK എന്നാൽ സ്വീകർത്താവ് TCP വീണ്ടെടുപ്പ് നിയമങ്ങൾ പ്രകാരം ഒരു സഞ്ചിത സ്ഥിരീകരണം ആവർത്തിക്കുന്നത്, ഇത് അല്ല ആപ്ലിക്കേഷന്റെ ഇരട്ട എഴുത്ത്, അല്ല ഡാറ്റയുടെ രണ്ടാം പകർപ്പ്.

ESP അതിന്റെ സ്വന്തം ക്രമ ഇടത്തിൽ പ്രവർത്തിക്കുന്നു. ഓരോ സുരക്ഷാ അസോസിയേഷനും അയയ്ക്കുന്ന പാക്കറ്റുകൾക്ക് നമ്പർ നൽകുന്നു, സ്വീകർത്താവ് ഇതിനകം സ്വീകരിച്ച നമ്പറുകളുടെ ഒരു ജാലകം സൂക്ഷിക്കുന്നു, അതിനാൽ രണ്ടുതവണ എത്തുന്ന ESP പാക്കറ്റ് ആ നിയമങ്ങളുടെ അടിസ്ഥാനത്തിൽ മാത്രം ഒഴിവാക്കപ്പെടുന്നു. അതിനാൽ വീണ്ടും അയച്ച TCP സെഗ്മെന്റ് പുതിയ ക്രമ നമ്പറുള്ള പുതിയ ESP പാക്കറ്റിൽ യാത്ര ചെയ്യുന്നു, ഇത് രണ്ട് പാളികളിലും ശരിയായ പെരുമാറ്റമാണ്. ഒരേ ബൈറ്റുകൾ ഒരു കൗണ്ടറിൽ പുതിയതായും മറ്റൊന്നിൽ പഴയതായും തോന്നാം, ഏത് പാളിയും കളവ് പറയുന്നില്ല.

അനലൈസറിന് കാണാനാകുന്നതും കാണാനാകാത്തതും

അനലൈസറിന്റെ പദാവലിയിൽ നിന്ന് തുടങ്ങുക, കാരണം ഫിൽട്ടർ പേരുകൾ അന്തിമ ബിന്ദുക്കളുടെ ഉള്ളല്ല, നിരീക്ഷണങ്ങളെ വിവരിക്കുന്നു. ഉപകരണം ഉപയോഗിക്കുന്ന അതേ പേരുകളിൽ എണ്ണുന്നത് യഥാർത്ഥത്തിൽ എന്ത് അളന്നു എന്നതിൽ സത്യസന്ധരായി നിർത്തുന്നു. അപൂർണ്ണ ക്യാപ്ചറിൽ നിന്നുള്ള എണ്ണം അതിജീവിച്ചതിന്റെ എണ്ണമാണ്, കമ്പിയിൽ സംഭവിച്ചതിന്റേതല്ല.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

ആ സംഖ്യകൾക്കൊപ്പമുള്ള വിദഗ്ധ വിവരം വായിക്കുക, കാരണം ചെക്സം, ക്രമം എന്നിവയെക്കുറിച്ചുള്ള മുന്നറിയിപ്പുകൾ അവയ്ക്ക് എത്ര ഭാരം അർഹതയുണ്ടെന്ന് മാറ്റുന്നു. രണ്ട് സെൻസറുകളുടെ സംയോജിത ട്രേസ് ഒരു ഫ്രെയിം രണ്ടുതവണ കാണിച്ചേക്കാം, രണ്ട് പകർപ്പുകളും എണ്ണുന്നത് ഒരിക്കലും സംഭവിക്കാത്ത ഒരു വീണ്ടെടുപ്പ് സംഭവം സൃഷ്ടിക്കുന്നു.

ESP കൗണ്ടറുകൾ കെർണൽ അവസ്ഥയിൽ ജീവിക്കുന്നു

ESP ക്രമ നമ്പറുകൾ TCP പ്രവാഹത്തിന്റേതല്ല, സുരക്ഷാ അസോസിയേഷന്റേതാണ്, അതിനാൽ ഗേറ്റ്വേയാണ് ചോദിക്കേണ്ട സ്ഥലം. സ്ഥിതി പട്ടിക ഓരോ അസോസിയേഷനുമുള്ള പാക്കറ്റ്, പിശക് കൗണ്ടറുകൾ റിപ്പോർട്ട് ചെയ്യുന്നു, അവ ഒരു ക്യാപ്ചറിനും പുനർനിർമ്മിക്കാനാവില്ല.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 ക്രമ നമ്പറും അത് ഉപയോഗിക്കുന്ന റീപ്ലേ വിരുദ്ധ ജാലകവും നിർവചിക്കുന്നു, അതുകൊണ്ടാണ് ഒന്നും തെറ്റല്ലെങ്കിലും കൗണ്ടർ ഉയരുന്നത്. ബന്ധപ്പെട്ട TCP അസാധാരണതയില്ലാത്ത ഏകതാന ബാഹ്യ ക്രമ നമ്പറുകൾ പുനഃപ്രേഷണ കൊടുങ്കാറ്റിലേക്കല്ല, മറ്റൊരു അയച്ചയാളിലേക്കോ ഇരട്ടിപ്പിച്ച പാതയിലേക്കോ വിരൽ ചൂണ്ടുന്നു. എൻക്രിപ്റ്റ് ചെയ്ത ടണലിന്റെ ബാഹ്യ ക്യാപ്ചർ സാധാരണയായി അകത്തെ TCP ക്രമ നമ്പറുകൾ മറയ്ക്കുന്നു, അതിനാൽ അകത്തെ സ്റ്റാക്ക് എന്ത് ചെയ്തു എന്ന് തെളിയിക്കാനാവില്ല. നയം അനുവദിക്കുന്നിടത്ത് മാത്രം ടണലിനുള്ളിൽ ക്യാപ്ചർ ചെയ്യുക, ബന്ധമില്ലാത്ത മുന്നറിയിപ്പ് നിശബ്ദമാക്കാൻ ഒരിക്കലും റീപ്ലേ വിരുദ്ധ സംരക്ഷണം ഓഫ് ചെയ്യരുത്.

നിരീക്ഷണ ബിന്ദു ഉത്തരം മാറ്റുന്നിടം

എസ്കലേറ്റ് ചെയ്യുന്നതിന് മുൻപ് ക്യാപ്ചർ എങ്ങനെ എടുത്തു എന്ന് എഴുതുക: ഇന്റർഫേസ്, ക്യാപ്ചർ പ്രക്രിയ ഡ്രോപ്പുകൾ റിപ്പോർട്ട് ചെയ്തോ, സമയ അടയാളങ്ങൾ സെൻസറുകൾക്കിടയിൽ താരതമ്യം ചെയ്യാമോ. ഒരു നിരീക്ഷണ ബിന്ദുവിന് പാതയുടെ രണ്ട് അറ്റങ്ങളും കാണാനാവില്ല, അതിനാൽ സ്വീകർത്താവിന്റെ പെരുമാറ്റത്തെക്കുറിച്ചുള്ള ഏത് പ്രസ്താവനയും അളവല്ല, അനുമാനമാണ്. ഗേറ്റ്വേയിൽ എടുത്ത ട്രേസും ഹോസ്റ്റിൽ എടുത്ത ട്രേസും ലോഡിന് കീഴിൽ ക്രമത്തെക്കുറിച്ച് യോജിക്കില്ല, ആ വിയോജിപ്പ് സാധാരണയായി ടണലിന്റേതല്ല, ക്യാപ്ചറിന്റേതാണ്. രണ്ട് വീക്ഷണങ്ങൾ പരസ്പരം ബന്ധിപ്പിക്കുന്നതാണ് എണ്ണത്തെ തെളിവാക്കി മാറ്റുന്നത്.

അനുവദനീയമായ ഒരു ആപ്ലിക്കേഷൻ പ്രവാഹം ഉപയോഗിച്ച് അതേ നിമിഷം ക്യാപ്ചർ എണ്ണങ്ങൾക്കൊപ്പം അന്തിമ ബിന്ദുക്കളുടെ കൗണ്ടറുകൾ രേഖപ്പെടുത്തുക. സംഖ്യകൾ യോജിക്കുന്നില്ലെങ്കിൽ സംഭവത്തിന്റെ ഉടമയായ പാളിയെ വിശ്വസിക്കുക, മറ്റൊന്നിനെ വിപരീതം തെളിയുന്നതുവരെ നിരീക്ഷണ കലാസൃഷ്ടിയായി കണക്കാക്കുക. ആ നിയമം ടണൽ കോൺഫിഗറേഷൻ തൊടാതെ ഇത്തരം ടിക്കറ്റുകളിൽ ഭൂരിഭാഗവും പരിഹരിക്കുന്നു.

സംഖ്യകൾ ശരിയായ ക്രമത്തിൽ വായിക്കൽ

ചോദ്യം ഉന്നയിച്ച പാളിയിൽ നിന്ന് തുടങ്ങുക: TCP മുന്നറിയിപ്പിന് TCP ക്യാപ്ചറിൽ നിന്ന് ഉത്തരം, ESP നിരാസത്തിന് ഗേറ്റ്വേയിലെ സുരക്ഷാ അസോസിയേഷൻ കൗണ്ടറുകളിൽ നിന്ന് ഉത്തരം. അതിനുശേഷം മാത്രം രണ്ട് വീക്ഷണങ്ങളും ഒരേ പാക്കറ്റ് വിവരിക്കുന്നുണ്ടോ എന്ന് ചോദിക്കുക. രണ്ട് പാളികളും ആവശ്യമായ നിഗമനം രണ്ടിനെയും പേരെടുത്ത് പറയണം, കാരണം TCP അടയാളത്തിൽ മാത്രം ആശ്രയിക്കുന്ന ടണൽ പ്രസ്താവന ഊഹമാണ്.

ഓരോ കണ്ടെത്തലിനും പാളി, കൗണ്ടർ, നിരീക്ഷണ ബിന്ദു എന്നിവ രേഖപ്പെടുത്തുക, അടുത്ത വായനക്കാരൻ മൂന്ന് സംഭവങ്ങളെ ഒരു സാങ്കൽപ്പിക തകരാറിൽ ലയിപ്പിക്കില്ല. ആ മൂന്ന് മണ്ഡലങ്ങളുമായി എസ്കലേറ്റ് ചെയ്യുക, തിരുത്തൽ സാധാരണയായി ആദ്യത്തതിൽ നിന്ന് വരുന്നു.