Conntrack NEW fuq pakkett ACK: x’ma jippruvax

Fil-log tal-firewall hemm linja waħda li ma kontx tistenniha: pakkett ACK, stat conntrack NEW, indirizz tas-sors li mhuwiex tiegħek, port tad-destinazzjoni miftuħ. It-tentazzjoni hi li taqrah bħala konnessjoni ġdida li dieħla li ħadd ma awtorizza. Dak li tgħid il-linja fil-fatt huwa iżjed dejjaq: meta dak il-pakkett wasal f’dan il-hook, it-tracker ma kellux stat li jaqbel, u l-pakkett kien iġorr ACK. Dawn huma żewġ fatti dwar żewġ affarijiet differenti, u l-ebda wieħed mhu trascrizzjoni sħiħa ta’ tkabbir ta’ idejn. Dan huwa l-ordni li ngħaddi minnha qabel ma nasal għal konklużjoni.

Ibda mill-pakkett, mhux mill-verdett

Issepara l-osservazzjonijiet qabel ma tinterpretahom. Il-bnadar TCP jiddeskrivu dan il-pakkett, l-istat tat-tracker jiddeskrivi dak li kien jaf f’dak il-hook, u l-qbid tiegħek jiddeskrivi biss it-tieqa li rreġistrajt.

Li tħallat dawn it-tlieta huwa kif ACK isir “il-fornitur ħalla lil xi ħadd jidħol”.

X’ifisser NEW tassew fil-hook

it-tqabbil conntrack ta’ iptables jiddokumenta NEW bħala pakkett li jibda konnessjoni, jew wieħed marbut ma’ konnessjoni li għadha ma ratx traffiku fiż-żewġ direzzjonijiet. ESTABLISHED ifisser li t-tracker ra pakketti fiż-żewġ direzzjonijiet. L-ebda waħda mid-definizzjonijiet ma tgħid li l-pakkett kien SYN, u lanqas li wasal mingħajr storja.

Tracker li jibda josserva fluss min-nofs jikklassifika l-pakkett li jmiss skont dak li jaf, u dan jista’ jkun xejn. Dan huwa stqarrija dwar il-memorja tat-tracker, mhux dwar il-ħsieb tal-host imbiegħed.

Traċċar lax jispjega ħafna mis-sorpresi bl-ACK

Il-kernel jiddokumenta nf_conntrack_tcp_loose, li jħalli lit-tracker jieħu konnessjonijiet TCP li ma rax il-bidu tagħhom. Bis-setting fuq il-valur awtomatiku tiegħu, ACK min-nofs fluss jista’ jiġi adottat bħala fluss stabbilit. Itfi u l-istess pakkett x’aktarx jiġi kklassifikat bħala INVALID minflok NEW. Iż-żewġ riżultati jiddeskrivu r-regoli tat-tracker, mhux l-istorja tal-applikazzjoni.

Mela iċċekkja dak is-setting qabel ma tibni teorija fuq it-tikketta.

Eskludi l-kawżi tedjanti f’dan l-ordni

Ħafna mill-avvenimenti NEW-on-ACK li fittixt ġew fi tmiemhom f’waħda minn dawn, u kollha huma rħas biex jiġu ċċekkjati:

• It-tabella conntrack ġiet imċaħħda, jew it-tracker tħaddem mill-ġdid.
• Il-host tħaddem mill-ġdid, jew il-fluss marret f’namespace jew apparat ieħor.
• L-instradar asimmetriku ħareġ is-SYN minn triq li m’intix qed taqbad.
• NAT kiteb mill-ġdid it-tuple, għalhekk id-daħla m’għadhiex taqbel ma’ dak li qrajt.
• Il-qbid beda tard u qatt ma ra l-bidu.

Kull waħda minnhom tneħħi l-pakketti preċedenti mill-vista tat-tracker u tħalli dawk ta’ wara sħaħ. Restart jew tbattil tat-tabella huma l-aktar faċli biex jiġu kkonfermati mill-uptime u l-logs. L-instradar asimmetriku jidher bħala qbid f’direzzjoni waħda. NAT huwa l-aktar qarrieqi, għax it-tuple li t-tracker ħażen mhuwiex it-tuple stampat fil-log.

Ikteb liema minn dawn eskudejt, u kif, qabel ma tkompli.

Aqra t-tuple, l-interface u l-hook

Id-daħla conntrack hija mqassma bl-indirizzi, ports u protokoll, għalhekk kull traduzzjoni tbiddel liema daħla taqbel. Iġbor ukoll l-interface u l-hook, għax pakkett li jidher fuq l-interface żbaljat jew wara katina differenti jgħidlek li t-triq mhijiex dik tad-dijagramma. Meta l-avveniment jinvolvi VPN, iddeċiedi jekk qed tħares lejn il-pakkett ta’ ġewwa jew il-ġarrier ta’ barra. Imbagħad qabbel ma’ dak li l-gateway irrapporta għall-istess tuple ta’ ħames partijiet.

Żewġ veduti ta’ fluss wieħed li ma jaqblux huma aktar informattivi minn kull waħda waħedha.

Meta jiswa li teskala

Eskala meta tista’ turi servizz li jintlaħaq u li m’għandux ikun, mal-fluss, il-politika li ppermettiet dan u evidenza miż-żewġ trufijiet. Tirrapportax difett tal-fornitur abbażi ta’ tikketta waħda tal-istat jew qbid parzjali wieħed, għax dak ir-rapport jingħalaq bl-ispjegazzjoni li għadek kif qrajt. Jekk is-servizz tassew espost, is-sid ta’ dik il-fruntiera huwa l-persuna t-tajba biex isewwi dan, u mmappjar tal-ports delegat jew semmiegħ mhux intenzjonat huwa kawża aktar probabbli minn bug.

Imbagħad agħlaq il-vojt fil-viżibilità li ħalla pakkett wieħed jidher bħal sessjoni sħiħa.