Penghantaran semula TCP berbanding penolakan main semula IPsec: baca setiap lapisan

Tiga alat berbeza melaporkan tiga pendua berbeza, dan hanya satu daripadanya ialah peristiwa rangkaian yang boleh anda tangani. Penghantaran semula TCP ialah pengirim yang menghantar semula satu julat, ACK pendua ialah penerima yang mengulang pengesahan, dan penolakan main semula ESP ialah persatuan keselamatan yang menolak nombor jujukan yang telah diterimanya. Tiada satu pun daripada ketiga-tiganya membayangkan yang lain. Baca setiap pembilang pada lapisan yang menghasilkannya sebelum anda menggabungkannya menjadi satu cerita.

Tiga pembilang yang tidak pernah mengukur peristiwa yang sama

Anotasi penghantaran semula TCP bermaksud pengirim telah meletakkan semula julat jujukan pada wayar. Kehilangan ialah salah satu sebabnya, dan tangkapan yang anda pegang mungkin tidak mempunyai paket asal atau pengesahan yang akan menjelaskan masa. ACK pendua ialah penerima yang mengulang pengesahan kumulatif mengikut peraturan pemulihan TCP, yang bukan penulisan aplikasi pendua dan bukan salinan kedua data.

ESP berfungsi dalam ruang jujukannya sendiri. Setiap persatuan keselamatan menomborkan paket yang dihantarnya, dan penerima menyimpan tetingkap nombor yang telah diterimanya, jadi paket ESP yang tiba dua kali dibuang hanya atas dasar itu. Oleh itu segmen TCP yang dihantar semula bergerak dalam paket ESP baharu dengan nombor jujukan baharu, yang merupakan tingkah laku betul pada kedua-dua lapisan. Bait yang sama boleh kelihatan baharu dalam satu pembilang dan lama dalam pembilang lain, dan tiada lapisan yang berbohong.

Apa yang boleh dan tidak boleh dilihat penganalisis

Mulakan dengan perbendaharaan kata penganalisis, kerana nama penapis menerangkan pemerhatian dan bukan bahagian dalam titik akhir. Mengira dengan nama yang sama seperti yang digunakan alat menjadikan anda jujur tentang apa yang sebenarnya diukur. Kiraan daripada tangkapan yang tidak lengkap ialah kiraan apa yang terselamat, bukan apa yang berlaku pada wayar.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Baca maklumat pakar di sebelah nombor itu, kerana amaran checksum dan susunan mengubah berapa berat yang patut diterimanya. Jejak gabungan daripada dua penderia boleh menunjukkan satu bingkai dua kali, dan mengira kedua-dua salinan mencipta peristiwa pemulihan yang tidak pernah berlaku.

Pembilang ESP hidup dalam keadaan kernel

Nombor jujukan ESP milik persatuan keselamatan, bukan aliran TCP, jadi get laluan ialah tempat untuk bertanya. Senarai keadaan melaporkan pembilang paket dan ralat bagi setiap persatuan yang tidak dapat dibina semula oleh mana-mana tangkapan.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 mentakrifkan nombor jujukan dan tetingkap anti-main semula yang menggunakannya, itulah sebabnya pembilang naik walaupun tiada apa yang salah. Nombor jujukan luar yang monoton tanpa anomali TCP yang sepadan menunjukkan pengirim lain atau laluan pendua dan bukannya ribut penghantaran semula. Tangkapan luar bagi terowong tersulit biasanya menyembunyikan nombor jujukan TCP dalaman, jadi ia tidak dapat membuktikan apa yang dilakukan oleh tindanan dalaman. Tangkap di dalam terowong hanya di tempat dasar membenarkan, dan jangan sekali-kali mematikan anti-main semula untuk menyenyapkan amaran yang tidak berkaitan.

Di mana titik pemerhatian mengubah jawapan

Sebelum meningkatkan, tuliskan bagaimana tangkapan diambil: antara muka, sama ada proses tangkapan melaporkan kehilangan, dan sama ada cap masa boleh dibandingkan antara penderia. Satu titik pemerhatian tidak dapat melihat kedua-dua hujung laluan, jadi sebarang kenyataan tentang tingkah laku penerima ialah inferens dan bukan ukuran. Jejak yang diambil di get laluan dan jejak yang diambil di hos akan berselisih tentang susunan di bawah beban, dan perselisihan itu biasanya milik tangkapan dan bukan terowong. Mengaitkan dua pandangan itulah yang menjadikan kiraan sebagai bukti.

Gunakan satu aliran aplikasi yang dibenarkan dan catat pembilang titik akhir di sebelah kiraan tangkapan pada saat yang sama. Jika nombornya berselisih, percayai lapisan yang memiliki peristiwa itu dan anggap yang lain sebagai artifak pemerhatian sehingga dibuktikan sebaliknya. Peraturan itu menyelesaikan kebanyakan tiket ini tanpa menyentuh konfigurasi terowong.

Membaca nombor dalam susunan yang betul

Mulakan pada lapisan tempat soalan ditanya: amaran TCP dijawab daripada tangkapan TCP, dan penolakan ESP dijawab daripada pembilang persatuan keselamatan di get laluan. Hanya selepas itu tanya sama ada kedua-dua pandangan menerangkan paket yang sama. Kesimpulan yang memerlukan kedua-dua lapisan harus menamakan kedua-duanya, kerana dakwaan tentang terowong yang bersandar pada anotasi TCP sahaja ialah tekaan.

Catat lapisan, pembilang dan titik pemerhatian untuk setiap penemuan, dan pembaca seterusnya tidak akan meleburkan tiga peristiwa menjadi satu kerosakan khayalan. Tingkatkan dengan ketiga-tiga medan itu dan pembetulan biasanya menyusul daripada yang pertama.