TCP дахин дамжуулалт ба IPsec давталтын татгалзал: давхарга бүрийг уншина уу

Гурван өөр хэрэгсэл гурван өөр давхардлыг мэдээлдэг ба тэдгээрийн зөвхөн нэг нь таны арга хэмжээ авч болох сүлжээний үйл явдал юм. TCP дахин дамжуулалт гэдэг нь илгээгч мужийг дахин илгээх, давхар ACK гэдэг нь хүлээн авагч баталгаажуулалтыг давтах, ESP давталтын татгалзал гэдэг нь аюулгүй байдлын холбоо аль хэдийн хүлээн авсан дарааллын дугаарыг татгалзахыг хэлнэ. Гурвын аль нь ч бусдыг нь илэрхийлэхгүй. Тэдгээрийг нэг түүх болгон нэгтгэхээс өмнө тоолуур бүрийг үүсгэдэг давхаргад нь уншина уу.

Хэзээ ч нэг үйл явдлыг хэмждэггүй гурван тоолуур

TCP дахин дамжуулалтын тэмдэглэл нь илгээгч дарааллын мужийг дахин утсан дээр тавьсан гэсэн үг. Алдагдал нь түүний нэг шалтгаан бөгөөд таны гарт байгаа бичлэгт анхны пакет эсвэл цагийг тайлбарлах баталгаажуулалт байхгүй байж болно. Давхар ACK гэдэг нь хүлээн авагч TCP сэргээх дүрмийн дагуу хуримтлагдсан баталгаажуулалтыг давтах бөгөөд энэ нь програмын давхар бичилт ч биш, өгөгдлийн хоёр дахь хуулбар ч биш.

ESP өөрийн дарааллын орон зайд ажилладаг. Аюулгүй байдлын холбоо бүр илгээсэн пакетуудаа дугаарлаж, хүлээн авагч аль хэдийн хүлээн авсан дугааруудын цонхыг хадгалдаг тул хоёр удаа ирсэн ESP пакет зөвхөн эдгээр дүрмийн үндсэн дээр хаягдана. Тиймээс дахин илгээсэн TCP сегмент шинэ дарааллын дугаартай шинэ ESP пакетад аялдаг бөгөөд энэ нь хоёр давхаргад зөв зан төлөв юм. Ижил байтууд нэг тоолуурт шинэ, нөгөөд хуучин харагдаж болох бөгөөд аль ч давхарга худал хэлэхгүй.

Анализатор юу харж чадах, юу чадахгүй

Анализаторын үг хэллэгээс эхэл, учир нь шүүлтүүрийн нэрс төгсгөлийн цэгүүдийн дотоод байдлыг биш, ажиглалтыг тодорхойлдог. Хэрэгсэл ашигладаг ижил нэрсээр тоолох нь юу үнэхээр хэмжигдсэний талаар таныг шударга байлгана. Бүрэн бус бичлэгээс авсан тоо нь утсан дээр болсноос биш, амьд үлдсэн зүйлийн тоо юм.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Тэдгээр тооны хажууд байгаа шинжээчийн мэдээллийг унш, учир нь шалгах нийлбэр ба дарааллын анхааруулга тэдний хэдийг жинлэх ёстойг өөрчилдөг. Хоёр мэдрэгчийн нэгтгэсэн мөр нэг хүрээг хоёр удаа харуулж болох ба хоёр хуулбарыг тоолох нь хэзээ ч болоогүй сэргээх үйл явдлыг зохиодог.

ESP тоолуурууд цөмийн төлөвт амьдардаг

ESP дарааллын дугаарууд нь TCP урсгалд биш, аюулгүй байдлын холбоонд хамаардаг тул гарц бол асуух газар юм. Төлөвийн жагсаалт холбоо бүрийн пакет, алдааны тоолуурыг мэдээлдэг бөгөөд тэдгээрийг ямар ч бичлэг сэргээж чадахгүй.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 нь дарааллын дугаар ба түүнийг зарцуулдаг давталтын эсрэг цонхыг тодорхойлдог тул юу ч буруу биш үед ч тоолуур өсдөг. Харгалзах TCP гажиггүй монотон гадаад дарааллын дугаарууд нь дахин дамжуулалтын шуурга биш, өөр илгээгч эсвэл давхардсан зам руу заана. Шифрлэгдсэн туннелийн гадаад бичлэг нь ихэвчлэн дотоод TCP дарааллын дугаарыг нуудаг тул дотоод стек юу хийснийг баталж чадахгүй. Туннелийн дотор зөвхөн бодлого зөвшөөрсөн газарт бич, холбоогүй анхааруулгыг намжаахын тулд давталтын эсрэг хамгаалалтыг хэзээ ч бүү унтраа.

Ажиглалтын цэг хариуг хаана өөрчилдөг

Эскалат хийхээс өмнө бичлэг хэрхэн авсаныг бич: интерфэйс, бичлэгийн процесс алдагдлын талаар мэдээлсэн эсэх, цагийн тамга мэдрэгчдийн хооронд харьцуулах боломжтой эсэх. Нэг ажиглалтын цэг замын хоёр төгсгөлийг харж чадахгүй тул хүлээн авагчийн зан төлөвийн талаарх аливаа мэдэгдэл нь хэмжилт биш, дүгнэлт юм. Гарц дээр авсан мөр ба хост дээр авсан мөр ачааллын үед дарааллын талаар санал нийлэхгүй бөгөөд энэ зөрүү нь ихэвчлэн туннельд биш, бичлэгт хамаарна. Хоёр харагдацыг хамаатуулах нь тоог нотолгоо болгодог зүйл юм.

Зөвшөөрөгдсөн нэг програмын урсгалыг ашиглаж, яг тэр мөчид бичлэгийн тоонуудын хажууд төгсгөлийн цэгүүдийн тоолуурыг тэмдэглэ. Тоонууд нийлэхгүй бол үйл явдлыг эзэмшдэг давхаргад итгэж, нөгөөг нь эсрэгээр нь батлагдах хүртэл ажиглалтын олдвор гэж үз. Энэ дүрэм туннелийн тохиргоог хөндөхгүйгээр эдгээр тасалбарын ихэнхийг шийддэг.

Тоонуудыг зөв дарааллаар унших

Асуулт тавьсан давхаргаас эхэл: TCP анхааруулгад TCP бичлэгээс хариулдаг ба ESP татгалзалтад гарц дээрх аюулгүй байдлын холбооны тоолуураас хариулдаг. Зөвхөн дараа нь хоёр харагдац ижил пакетыг дүрсэлж байгаа эсэхийг асуу. Хоёр давхарга шаарддаг дүгнэлт хоёуланг нь нэрлэх ёстой, учир нь туннелийн тухай зөвхөн TCP тэмдэглэлд тулгуурласан мэдэгдэл бол таамаг.

Олдвор бүрийн хувьд давхарга, тоолуур, ажиглалтын цэгийг тэмдэглэ, дараагийн уншигч гурван үйл явдлыг нэг төсөөллийн гэмтэлд нийлүүлэхгүй. Эдгээр гурван талбараар эскалат хий, засвар нь ихэвчлэн эхнийхээс гардаг.