Trażmissjonijiet mill-ġdid TCP kontra rifjuti ta’ replay IPsec: aqra kull saff

Tliet għodod differenti jirrappurtaw tliet duplikati differenti, u wieħed biss minnhom huwa avveniment tan-netwerk li tista’ taġixxi fuqu. Trażmissjoni mill-ġdid TCP hija mittent li jibgħat mill-ġdid firxa, ACK doppju huwa riċevitur li jirrepeti konferma, u rifjut ta’ replay ESP hija assoċjazzjoni tas-sigurtà li tirrifjuta numru tas-sekwenza li diġà aċċettat. Ħadd mit-tlieta ma jimplika lill-ieħor. Aqra kull kontatur fis-saff li jiġġenerah qabel ma tgħaqqadhom fi storja waħda.

Tliet kontaturi li qatt ma jkejlu l-istess avveniment

In-notazzjoni tat-trażmissjoni mill-ġdid TCP tfisser li l-mittent poġġa mill-ġdid firxa tas-sekwenza fuq il-wajer. It-telf huwa wieħed mir-raġunijiet għal dan, u l-qabda li għandek tista’ sempliċement tonqos mill-pakkett oriġinali jew mill-konferma li kienet tispjega l-ħin. ACK doppju huwa r-riċevitur li jirrepeti konferma kumulattiva skont ir-regoli tal-irkupru TCP, li la hija kitba doppja tal-applikazzjoni u lanqas tieni kopja tad-data.

ESP jaħdem fi spazju tas-sekwenza tiegħu stess. Kull assoċjazzjoni tas-sigurtà tnumera l-pakketti li tibgħat, u r-riċevitur iżomm tieqa ta’ numri li diġà aċċetta, għalhekk pakkett ESP li jasal darbtejn jintrema fuq dik il-bażi biss. Għalhekk segment TCP mibgħut mill-ġdid jivvjaġġa fi pakkett ESP ġdid b’numru tas-sekwenza ġdid, li huwa aġir korrett fiż-żewġ saffi. L-istess bajts jistgħu jidhru ġodda f’kontatur u qodma f’ieħor, u ħadd miż-żewġ saffi ma jigdeb.

X’jista’ u x’ma jistax jara l-analizzatur

Ibda bil-vokabularju tal-analizzatur, għax l-ismijiet tal-filtri jiddeskrivu osservazzjonijiet u mhux l-intern tal-punti tat-tmiem. L-għadd bl-istess ismijiet li juża l-għodda jżommok onest dwar dak li fil-fatt ġie mkejjel. Għadd minn qabda mhux sħiħa huwa għadd ta’ dak li baqa’ ħaj, mhux ta’ dak li ġara fuq il-wajer.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Aqra l-informazzjoni tal-espert ħdejn dawk in-numri, għax twissijiet dwar checksum u ordni jbiddlu kemm jistħoqqilhom piż. Traċċa magħquda minn żewġ sensuri tista’ turi qafas darbtejn, u l-għadd taż-żewġ kopji joħloq avveniment ta’ rkupru li qatt ma seħħ.

Il-kontaturi ESP jgħixu fl-istat tal-kernel

In-numri tas-sekwenza ESP jappartjenu għall-assoċjazzjoni tas-sigurtà, mhux għall-fluss TCP, għalhekk il-bieb huwa l-post fejn tistaqsi. Il-lista tal-istat tirrapporta kontaturi tal-pakketti u tal-iżbalji għal kull assoċjazzjoni li ebda qabda ma tista’ terġa’ tibnihom.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 jiddefinixxi n-numru tas-sekwenza u t-tieqa kontra r-replay li tikkonsmah, u għalhekk il-kontatur jogħla anki meta xejn ma jkun ħażin. Numri tas-sekwenza esterni monotonuċi mingħajr anomalija TCP li taqbel jindikaw mittent ieħor jew triq duplikata aktar milli maltempata ta’ trażmissjonijiet mill-ġdid. Qabda esterna ta’ mina kriptata normalment taħbi n-numri tas-sekwenza TCP interni, għalhekk ma tistax tipprova x’għamel il-munzell intern. Aqbad ġewwa l-mina biss fejn il-politika tippermetti, u qatt ma tiddiżattiva l-anti-replay biex issikket twissija mhux relatata.

Fejn il-punt ta’ osservazzjoni jbiddel it-tweġiba

Qabel ma tescala, ikteb kif ittieħdet il-qabda: l-interface, jekk il-proċess tal-qabda rrappurtax telf, u jekk it-timbri tal-ħin humiex komparabbli bejn is-sensuri. Punt ta’ osservazzjoni wieħed ma jistax jara ż-żewġt itruf ta’ triq, għalhekk kull dikjarazzjoni dwar l-aġir tar-riċevitur hija inferenza u mhux kejl. Traċċa meħuda fuq il-bieb u traċċa meħuda fuq il-host ma jaqblux dwar l-ordni taħt tagħbija, u dak id-diverġenza normalment tappartjeni lill-qabda u mhux lill-mina. L-korrelazzjoni ta’ żewġ veduti hija dak li jibdel għadd fi prova.

Uża fluss wieħed tal-applikazzjoni permess u nnota l-kontaturi tal-punti tat-tmiem ħdejn l-għadd tal-qabda fl-istess mument. Jekk in-numri ma jaqblux, afda s-saff li jippossjedi l-avveniment u ttratta l-ieħor bħala artefatt tal-osservazzjoni sakemm jiġi pruvat il-kuntrarju. Dik ir-regola ssolvi ħafna minn dawn il-biljetti mingħajr ma tmiss il-konfigurazzjoni tal-mina.

Il-qari tan-numri fl-ordni t-tajba

Ibda mis-saff fejn saret il-mistoqsija: twissija TCP tiġi mwieġba minn qabda TCP, u rifjut ESP jiġi mwieġeb mill-kontaturi tal-assoċjazzjoni tas-sigurtà fuq il-bieb. Biss wara staqsi jekk iż-żewġ veduti jiddeskrivux l-istess pakkett. Konklużjoni li teħtieġ iż-żewġ saffi għandha ssemmi t-tnejn, għax talba dwar il-mina msejsa biss fuq notazzjoni TCP hija preżunzjoni.

Innota s-saff, il-kontatur u l-punt ta’ osservazzjoni għal kull sejba, u l-qarrej li jmiss mhux se jgħaqqad tliet avvenimenti fi ħsara immaġinata waħda. Escala b’dawk it-tliet oqsma u l-korrezzjoni normalment issegwi mill-ewwel wieħed.