TCP पुनर्प्रसारण विरुद्ध IPsec रीप्ले ड्रॉप: प्रत्येक स्तर वाचा

तीन वेगवेगळी साधने तीन वेगवेगळे डुप्लिकेट नोंदवतात, आणि त्यापैकी फक्त एकच अशी नेटवर्क घटना आहे ज्यावर तुम्ही कारवाई करू शकता। TCP पुनर्प्रसारण म्हणजे प्रेषकाने एखादी श्रेणी पुन्हा पाठवणे, डुप्लिकेट ACK म्हणजे प्राप्तकर्त्याने एखादी पोच पुन्हा सांगणे, आणि ESP रीप्ले ड्रॉप म्हणजे सुरक्षा संबद्धता आधीच स्वीकारलेला क्रम क्रमांक नाकारणे। यातील कोणतेही इतर दोन अर्थात घेत नाही। त्यांना एका कथेत जोडण्यापूर्वी प्रत्येक काउंटर तो तयार होतो त्या स्तरावर वाचा।

कधीही एकच घटना न मोजणारे तीन काउंटर

TCP पुनर्प्रसारणाची नोंद म्हणजे प्रेषकाने क्रमाची एक श्रेणी पुन्हा तारेवर ठेवली आहे। हानी हे त्याचे एक कारण आहे, आणि तुमच्याकडील कॅप्चरमध्ये मूळ पॅकेट किंवा वेळ स्पष्ट करणारी पोच नसू शकते। डुप्लिकेट ACK म्हणजे प्राप्तकर्ता TCP पुनर्प्राप्ती नियमांनुसार संचित पोच पुन्हा सांगत आहे, जी अनुप्रयोगाची दुहेरी लेखन नाही आणि डेटाची दुसरी प्रत नाही।

ESP स्वतःच्या क्रम-जागेत काम करते। प्रत्येक सुरक्षा संबद्धता पाठवलेल्या पॅकेटांना क्रमांक देते, आणि प्राप्तकर्ता आधीच स्वीकारलेल्या क्रमांकांची एक खिडकी ठेवतो, म्हणून दोनदा येणारे ESP पॅकेट केवळ त्या नियमांवरूनच वगळले जाते। त्यामुळे पुन्हा पाठवलेले TCP खंड नवीन क्रम क्रमांकासह नवीन ESP पॅकेटमध्ये प्रवास करते, जे दोन्ही स्तरांवर योग्य वर्तन आहे। तेच बाइट एका काउंटरमध्ये नवीन आणि दुसऱ्यात जुने दिसू शकतात, आणि दोन्हीपैकी कोणताही स्तर खोटे बोलत नाही।

विश्लेषक काय पाहू शकतो आणि काय नाही

विश्लेषकाच्या शब्दसंग्रहापासून सुरुवात करा, कारण फिल्टरची नावे अंतिम बिंदूंचे अंतर्गत रूप नव्हे तर निरीक्षणे वर्णन करतात। साधन वापरते त्या नावांनी मोजणे तुम्हाला प्रत्यक्षात काय मोजले गेले याबद्दल प्रामाणिक ठेवते। अपूर्ण कॅप्चरमधील मोजणी तारेवर काय घडले याची नाही, तर काय टिकले याची मोजणी आहे।

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

त्या संख्यांच्या शेजारील तज्ञ माहिती वाचा, कारण चेकसम आणि क्रमाविषयीचे इशारे त्यांना किती महत्त्व मिळावे हे बदलतात। दोन सेन्सरांचा एकत्रित ट्रेस एक फ्रेम दोनदा दाखवू शकतो, आणि दोन्ही प्रती मोजल्यास कधीही न घडलेली पुनर्प्राप्ती घटना तयार होते।

ESP काउंटर कर्नेल स्थितीत राहतात

ESP क्रम क्रमांक TCP प्रवाहाचे नाहीत, सुरक्षा संबद्धतेचे आहेत, म्हणून गेटवे हे विचारण्याचे ठिकाण आहे। स्थिती यादी प्रत्येक संबद्धतेसाठी पॅकेट आणि त्रुटी काउंटर सांगते, जे कोणतेही कॅप्चर पुनर्रचित करू शकत नाही।

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 क्रम क्रमांक आणि तो वापरणारी रीप्ले-विरोधी खिडकी परिभाषित करते, म्हणून काहीही चुकीचे नसतानाही काउंटर वाढतो। संबंधित TCP विसंगती नसलेले एकसमान बाह्य क्रम क्रमांक पुनर्प्रसारणाच्या वादळाकडे नाही, तर दुसऱ्या प्रेषकाकडे किंवा दुहेरी मार्गाकडे निर्देश करतात। एन्क्रिप्टेड बोगद्याचे बाह्य कॅप्चर सामान्यतः आतील TCP क्रम क्रमांक लपवते, म्हणून आतील स्टॅकने काय केले हे सिद्ध करू शकत नाही। बोगद्याच्या आत फक्त धोरण परवानगी देते तिथेच कॅप्चर करा, आणि असंबंधित इशारा शांत करण्यासाठी कधीही रीप्ले-विरोधी संरक्षण बंद करू नका।

निरीक्षण बिंदू उत्तर कुठे बदलतो

वाढ करण्यापूर्वी कॅप्चर कसा घेतला हे लिहा: इंटरफेस, कॅप्चर प्रक्रियेने ड्रॉप नोंदवले का, आणि सेन्सरांमध्ये वेळेच्या खुणा तुलनीय आहेत का। एकच निरीक्षण बिंदू मार्गाची दोन्ही टोके पाहू शकत नाही, म्हणून प्राप्तकर्त्याच्या वर्तनाबद्दलचे कोणतेही विधान मोजमाप नाही, तर अनुमान आहे। गेटवेवर घेतलेला ट्रेस आणि होस्टवर घेतलेला ट्रेस भाराखाली क्रमाबद्दल एकमत होणार नाहीत, आणि तो मतभेद सामान्यतः बोगद्याचा नाही, कॅप्चरचा असतो। दोन दृष्टिकोनांचा सहसंबंध जोडणे हेच मोजणीचे पुराव्यात रूपांतर करते।

परवानगी असलेला एक अनुप्रयोग प्रवाह वापरा आणि त्याच क्षणी कॅप्चरच्या मोजणीच्या शेजारी अंतिम बिंदूंचे काउंटर नोंदवा। संख्या जुळत नसल्यास घटनेचा मालक असलेल्या स्तरावर विश्वास ठेवा आणि उलटे सिद्ध होईपर्यंत दुसऱ्याला निरीक्षण-कलाकृती माना। तो नियम बोगद्याची संरचना न बदलता यापैकी बहुतेक तिकिटे सोडवतो।

संख्या योग्य क्रमाने वाचणे

प्रश्न विचारला गेलेल्या स्तरापासून सुरुवात करा: TCP इशाऱ्याचे उत्तर TCP कॅप्चरमधून मिळते, आणि ESP ड्रॉपचे उत्तर गेटवेवरील सुरक्षा संबद्धतेच्या काउंटरमधून मिळते। त्यानंतरच दोन्ही दृष्टिकोन एकच पॅकेट वर्णन करतात का ते विचारा। दोन्ही स्तर आवश्यक असलेल्या निष्कर्षाने दोन्हींची नावे घ्यावीत, कारण केवळ TCP नोंदीवर आधारित बोगद्याविषयीचे विधान अनुमान आहे।

प्रत्येक शोधासाठी स्तर, काउंटर आणि निरीक्षण बिंदू नोंदवा, आणि पुढील वाचक तीन घटनांचे एका काल्पनिक बिघाडात विलीनीकरण करणार नाही। या तीन क्षेत्रांसह वाढ करा, आणि दुरुस्ती सामान्यतः पहिल्यापासूनच येते।