TCP ਮੁੜ-ਪ੍ਰਸਾਰਣ ਬਨਾਮ IPsec ਰੀਪਲੇ ਡ੍ਰੌਪ: ਹਰ ਪਰਤ ਪੜ੍ਹੋ

ਤਿੰਨ ਵੱਖ-ਵੱਖ ਸਾਧਨ ਤਿੰਨ ਵੱਖ-ਵੱਖ ਡੁਪਲੀਕੇਟ ਦੀ ਰਿਪੋਰਟ ਕਰਦੇ ਹਨ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਹੀ ਅਜਿਹੀ ਨੈੱਟਵਰਕ ਘਟਨਾ ਹੈ ਜਿਸ ’ਤੇ ਤੁਸੀਂ ਕਾਰਵਾਈ ਕਰ ਸਕਦੇ ਹੋ। TCP ਮੁੜ-ਪ੍ਰਸਾਰਣ ਦਾ ਮਤਲਬ ਹੈ ਭੇਜਣ ਵਾਲੇ ਵੱਲੋਂ ਕੋਈ ਰੇਂਜ ਦੁਬਾਰਾ ਭੇਜਣਾ, ਡੁਪਲੀਕੇਟ ACK ਦਾ ਮਤਲਬ ਹੈ ਪ੍ਰਾਪਤ ਕਰਨ ਵਾਲੇ ਵੱਲੋਂ ਕੋਈ ਪੁਸ਼ਟੀ ਦੁਹਰਾਉਣਾ, ਅਤੇ ESP ਰੀਪਲੇ ਡ੍ਰੌਪ ਦਾ ਮਤਲਬ ਹੈ ਸੁਰੱਖਿਆ ਸੰਬੰਧ ਵੱਲੋਂ ਪਹਿਲਾਂ ਹੀ ਸਵੀਕਾਰ ਕੀਤਾ ਕ੍ਰਮ ਨੰਬਰ ਨਾਮਨਜ਼ੂਰ ਕਰਨਾ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਬਾਕੀ ਦੋ ਨੂੰ ਸੰਕੇਤ ਨਹੀਂ ਕਰਦਾ। ਉਹਨਾਂ ਨੂੰ ਇੱਕ ਕਹਾਣੀ ਵਿੱਚ ਜੋੜਨ ਤੋਂ ਪਹਿਲਾਂ ਹਰ ਕਾਊਂਟਰ ਨੂੰ ਉਸੇ ਪਰਤ ’ਤੇ ਪੜ੍ਹੋ ਜੋ ਇਹ ਪੈਦਾ ਕਰਦੀ ਹੈ।

ਕਦੇ ਵੀ ਇੱਕੋ ਘਟਨਾ ਨਾ ਮਾਪਣ ਵਾਲੇ ਤਿੰਨ ਕਾਊਂਟਰ

TCP ਮੁੜ-ਪ੍ਰਸਾਰਣ ਦਾ ਸੰਕੇਤ ਦੱਸਦਾ ਹੈ ਕਿ ਭੇਜਣ ਵਾਲੇ ਨੇ ਕ੍ਰਮ ਦੀ ਇੱਕ ਰੇਂਜ ਦੁਬਾਰਾ ਤਾਰ ’ਤੇ ਰੱਖੀ ਹੈ। ਨੁਕਸਾਨ ਇਸਦਾ ਇੱਕ ਕਾਰਨ ਹੈ, ਅਤੇ ਤੁਹਾਡੇ ਕੋਲ ਮੌਜੂਦ ਕੈਪਚਰ ਵਿੱਚ ਮੂਲ ਪੈਕੇਟ ਜਾਂ ਸਮਾਂ ਸਮਝਾਉਣ ਵਾਲੀ ਪੁਸ਼ਟੀ ਨਹੀਂ ਹੋ ਸਕਦੀ। ਡੁਪਲੀਕੇਟ ACK ਦਾ ਮਤਲਬ ਹੈ ਪ੍ਰਾਪਤ ਕਰਨ ਵਾਲੇ ਵੱਲੋਂ TCP ਰਿਕਵਰੀ ਨਿਯਮਾਂ ਤਹਿਤ ਜਮ੍ਹਾਂ ਪੁਸ਼ਟੀ ਦੁਹਰਾਉਣੀ, ਜੋ ਨਾ ਤਾਂ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਦੋਹਰੀ ਲਿਖਤ ਹੈ ਅਤੇ ਨਾ ਹੀ ਡੇਟਾ ਦੀ ਦੂਜੀ ਕਾਪੀ।

ESP ਆਪਣੇ ਹੀ ਕ੍ਰਮ-ਥਾਂ ਵਿੱਚ ਕੰਮ ਕਰਦਾ ਹੈ। ਹਰ ਸੁਰੱਖਿਆ ਸੰਬੰਧ ਭੇਜੇ ਜਾਣ ਵਾਲੇ ਪੈਕੇਟਾਂ ਨੂੰ ਨੰਬਰ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਪ੍ਰਾਪਤ ਕਰਨ ਵਾਲੇ ਪਹਿਲਾਂ ਸਵੀਕਾਰ ਕੀਤੇ ਨੰਬਰਾਂ ਦੀ ਇੱਕ ਵਿੰਡੋ ਰੱਖਦਾ ਹੈ, ਇਸ ਲਈ ਦੋ ਵਾਰ ਆਉਣ ਵਾਲਾ ESP ਪੈਕੇਟ ਸਿਰਫ਼ ਉਹਨਾਂ ਨਿਯਮਾਂ ਦੇ ਆਧਾਰ ’ਤੇ ਹੀ ਕੱਢਿਆ ਜਾਂਦਾ ਹੈ। ਇਸ ਲਈ ਦੁਬਾਰਾ ਭੇਜਿਆ TCP ਖੰਡ ਨਵੇਂ ਕ੍ਰਮ ਨੰਬਰ ਵਾਲੇ ਨਵੇਂ ESP ਪੈਕੇਟ ਵਿੱਚ ਸਫ਼ਰ ਕਰਦਾ ਹੈ, ਜੋ ਦੋਵੇਂ ਪਰਤਾਂ ’ਤੇ ਸਹੀ ਵਿਵਹਾਰ ਹੈ। ਉਹੀ ਬਾਈਟ ਇੱਕ ਕਾਊਂਟਰ ਵਿੱਚ ਨਵੇਂ ਅਤੇ ਦੂਜੇ ਵਿੱਚ ਪੁਰਾਣੇ ਦਿਸ ਸਕਦੇ ਹਨ, ਅਤੇ ਦੋਵਾਂ ਵਿੱਚੋਂ ਕੋਈ ਪਰਤ ਝੂਠ ਨਹੀਂ ਬੋਲਦੀ।

ਵਿਸ਼ਲੇਸ਼ਕ ਕੀ ਦੇਖ ਸਕਦਾ ਹੈ ਅਤੇ ਕੀ ਨਹੀਂ

ਵਿਸ਼ਲੇਸ਼ਕ ਦੀ ਸ਼ਬਦਾਵਲੀ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ, ਕਿਉਂਕਿ ਫਿਲਟਰ ਨਾਮ ਅੰਤਿਮ ਬਿੰਦੂਆਂ ਦੇ ਅੰਦਰਲੇ ਹਿੱਸੇ ਨਹੀਂ, ਸਗੋਂ ਨਿਰੀਖਣਾਂ ਦਾ ਵਰਣਨ ਕਰਦੇ ਹਨ। ਸਾਧਨ ਜੋ ਨਾਮ ਵਰਤਦਾ ਹੈ ਉਹਨਾਂ ਹੀ ਨਾਮਾਂ ਨਾਲ ਗਿਣਨਾ ਤੁਹਾਨੂੰ ਇਸ ਬਾਰੇ ਇਮਾਨਦਾਰ ਰੱਖਦਾ ਹੈ ਕਿ ਅਸਲ ਵਿੱਚ ਕੀ ਮਾਪਿਆ ਗਿਆ। ਅਧੂਰੇ ਕੈਪਚਰ ਤੋਂ ਗਿਣਤੀ ਇਸ ਦੀ ਗਿਣਤੀ ਹੈ ਕਿ ਕੀ ਬਚਿਆ, ਇਸ ਦੀ ਨਹੀਂ ਕਿ ਤਾਰ ’ਤੇ ਕੀ ਹੋਇਆ।

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

ਉਹਨਾਂ ਸੰਖਿਆਵਾਂ ਦੇ ਨਾਲ ਦੀ ਮਾਹਰ ਜਾਣਕਾਰੀ ਪੜ੍ਹੋ, ਕਿਉਂਕਿ ਚੈੱਕਸਮ ਅਤੇ ਕ੍ਰਮ ਬਾਰੇ ਚੇਤਾਵਨੀਆਂ ਇਹ ਬਦਲਦੀਆਂ ਹਨ ਕਿ ਉਹਨਾਂ ਨੂੰ ਕਿੰਨਾ ਭਾਰ ਮਿਲਣਾ ਚਾਹੀਦਾ ਹੈ। ਦੋ ਸੈਂਸਰਾਂ ਦਾ ਸੰਯੁਕਤ ਟਰੇਸ ਇੱਕ ਫਰੇਮ ਦੋ ਵਾਰ ਦਿਖਾ ਸਕਦਾ ਹੈ, ਅਤੇ ਦੋਵੇਂ ਕਾਪੀਆਂ ਗਿਣਨਾ ਇੱਕ ਅਜਿਹੀ ਰਿਕਵਰੀ ਘਟਨਾ ਬਣਾ ਦਿੰਦਾ ਹੈ ਜੋ ਕਦੇ ਨਹੀਂ ਹੋਈ।

ESP ਕਾਊਂਟਰ ਕਰਨਲ ਸਥਿਤੀ ਵਿੱਚ ਰਹਿੰਦੇ ਹਨ

ESP ਕ੍ਰਮ ਨੰਬਰ TCP ਪ੍ਰਵਾਹ ਦੇ ਨਹੀਂ, ਸੁਰੱਖਿਆ ਸੰਬੰਧ ਦੇ ਹਨ, ਇਸ ਲਈ ਗੇਟਵੇ ਹੀ ਪੁੱਛਣ ਦੀ ਥਾਂ ਹੈ। ਸਥਿਤੀ ਸੂਚੀ ਹਰ ਸੰਬੰਧ ਲਈ ਪੈਕੇਟ ਅਤੇ ਗਲਤੀ ਕਾਊਂਟਰ ਦੱਸਦੀ ਹੈ, ਜਿਨ੍ਹਾਂ ਨੂੰ ਕੋਈ ਵੀ ਕੈਪਚਰ ਮੁੜ ਨਹੀਂ ਬਣਾ ਸਕਦਾ।

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 ਕ੍ਰਮ ਨੰਬਰ ਅਤੇ ਉਸਨੂੰ ਖਪਤ ਕਰਨ ਵਾਲੀ ਰੀਪਲੇ-ਵਿਰੋਧੀ ਵਿੰਡੋ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਕੁਝ ਵੀ ਗਲਤ ਨਾ ਹੋਣ ’ਤੇ ਵੀ ਕਾਊਂਟਰ ਵਧਦਾ ਹੈ। ਸੰਬੰਧਿਤ TCP ਵਿਸੰਗਤੀ ਤੋਂ ਬਿਨਾਂ ਇਕਸਾਰ ਬਾਹਰੀ ਕ੍ਰਮ ਨੰਬਰ ਮੁੜ-ਪ੍ਰਸਾਰਣ ਦੇ ਤੂਫ਼ਾਨ ਵੱਲ ਨਹੀਂ, ਕਿਸੇ ਹੋਰ ਭੇਜਣ ਵਾਲੇ ਜਾਂ ਦੁਹਰਾਏ ਮਾਰਗ ਵੱਲ ਸੰਕੇਤ ਕਰਦੇ ਹਨ। ਐਨਕ੍ਰਿਪਟਿਡ ਸੁਰੰਗ ਦਾ ਬਾਹਰੀ ਕੈਪਚਰ ਆਮ ਤੌਰ ’ਤੇ ਅੰਦਰਲੇ TCP ਕ੍ਰਮ ਨੰਬਰ ਲੁਕਾਉਂਦਾ ਹੈ, ਇਸ ਲਈ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰ ਸਕਦਾ ਕਿ ਅੰਦਰਲੇ ਸਟੈਕ ਨੇ ਕੀ ਕੀਤਾ। ਸੁਰੰਗ ਦੇ ਅੰਦਰ ਸਿਰਫ਼ ਉੱਥੇ ਹੀ ਕੈਪਚਰ ਕਰੋ ਜਿੱਥੇ ਨੀਤੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ, ਅਤੇ ਅਸੰਬੰਧਿਤ ਚੇਤਾਵਨੀ ਨੂੰ ਚੁੱਪ ਕਰਾਉਣ ਲਈ ਕਦੇ ਵੀ ਰੀਪਲੇ-ਵਿਰੋਧੀ ਸੁਰੱਖਿਆ ਬੰਦ ਨਾ ਕਰੋ।

ਨਿਰੀਖਣ ਬਿੰਦੂ ਜਵਾਬ ਕਿੱਥੇ ਬਦਲਦਾ ਹੈ

ਵਧਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਲਿਖੋ ਕਿ ਕੈਪਚਰ ਕਿਵੇਂ ਲਿਆ ਗਿਆ: ਇੰਟਰਫੇਸ, ਕੀ ਕੈਪਚਰ ਪ੍ਰਕਿਰਿਆ ਨੇ ਡ੍ਰੌਪ ਦੀ ਰਿਪੋਰਟ ਕੀਤੀ, ਅਤੇ ਕੀ ਸਮਾਂ-ਨਿਸ਼ਾਨ ਸੈਂਸਰਾਂ ਵਿਚਕਾਰ ਤੁਲਨਾਯੋਗ ਹਨ। ਇੱਕ ਨਿਰੀਖਣ ਬਿੰਦੂ ਮਾਰਗ ਦੇ ਦੋਵੇਂ ਸਿਰੇ ਨਹੀਂ ਦੇਖ ਸਕਦਾ, ਇਸ ਲਈ ਪ੍ਰਾਪਤ ਕਰਨ ਵਾਲੇ ਦੇ ਵਿਵਹਾਰ ਬਾਰੇ ਕੋਈ ਵੀ ਕਥਨ ਮਾਪ ਨਹੀਂ, ਸਗੋਂ ਅਨੁਮਾਨ ਹੈ। ਗੇਟਵੇ ’ਤੇ ਲਿਆ ਟਰੇਸ ਅਤੇ ਹੋਸਟ ’ਤੇ ਲਿਆ ਟਰੇਸ ਭਾਰ ਹੇਠ ਕ੍ਰਮ ਬਾਰੇ ਸਹਿਮਤ ਨਹੀਂ ਹੋਣਗੇ, ਅਤੇ ਉਹ ਅਸਹਿਮਤੀ ਆਮ ਤੌਰ ’ਤੇ ਸੁਰੰਗ ਦੀ ਨਹੀਂ, ਕੈਪਚਰ ਦੀ ਹੁੰਦੀ ਹੈ। ਦੋ ਦ੍ਰਿਸ਼ਟੀਕੋਣਾਂ ਨੂੰ ਸੰਬੰਧਿਤ ਕਰਨਾ ਹੀ ਗਿਣਤੀ ਨੂੰ ਸਬੂਤ ਬਣਾਉਂਦਾ ਹੈ।

ਇੱਕ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਐਪਲੀਕੇਸ਼ਨ ਪ੍ਰਵਾਹ ਵਰਤੋ ਅਤੇ ਉਸੇ ਪਲ ਕੈਪਚਰ ਦੀ ਗਿਣਤੀ ਦੇ ਨਾਲ ਅੰਤਿਮ ਬਿੰਦੂਆਂ ਦੇ ਕਾਊਂਟਰ ਦਰਜ ਕਰੋ। ਜੇ ਸੰਖਿਆਵਾਂ ਸਹਿਮਤ ਨਹੀਂ ਹਨ, ਤਾਂ ਉਸ ਪਰਤ ’ਤੇ ਭਰੋਸਾ ਕਰੋ ਜੋ ਘਟਨਾ ਦੀ ਮਾਲਕ ਹੈ ਅਤੇ ਦੂਜੀ ਨੂੰ ਉਲਟਾ ਸਾਬਤ ਹੋਣ ਤੱਕ ਨਿਰੀਖਣ-ਕਲਾ-ਵਸਤੂ ਮੰਨੋ। ਉਹ ਨਿਯਮ ਸੁਰੰਗ ਦੀ ਸੰਰਚਨਾ ਨੂੰ ਛੂਹੇ ਬਿਨਾਂ ਇਹਨਾਂ ਵਿੱਚੋਂ ਜ਼ਿਆਦਾਤਰ ਟਿਕਟਾਂ ਦਾ ਹੱਲ ਕਰਦਾ ਹੈ।

ਸੰਖਿਆਵਾਂ ਨੂੰ ਸਹੀ ਕ੍ਰਮ ਵਿੱਚ ਪੜ੍ਹਨਾ

ਜਿੱਥੇ ਸਵਾਲ ਪੁੱਛਿਆ ਗਿਆ ਉਸ ਪਰਤ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ: TCP ਚੇਤਾਵਨੀ ਦਾ ਜਵਾਬ TCP ਕੈਪਚਰ ਤੋਂ ਮਿਲਦਾ ਹੈ, ਅਤੇ ESP ਡ੍ਰੌਪ ਦਾ ਜਵਾਬ ਗੇਟਵੇ ’ਤੇ ਸੁਰੱਖਿਆ ਸੰਬੰਧ ਦੇ ਕਾਊਂਟਰਾਂ ਤੋਂ ਮਿਲਦਾ ਹੈ। ਉਸ ਤੋਂ ਬਾਅਦ ਹੀ ਪੁੱਛੋ ਕਿ ਦੋਵੇਂ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਇੱਕੋ ਪੈਕੇਟ ਦਾ ਵਰਣਨ ਕਰਦੇ ਹਨ ਜਾਂ ਨਹੀਂ। ਜਿਸ ਸਿੱਟੇ ਲਈ ਦੋਵੇਂ ਪਰਤਾਂ ਲੋੜੀਂਦੀਆਂ ਹਨ, ਉਸ ਵਿੱਚ ਦੋਵਾਂ ਦੇ ਨਾਮ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ, ਕਿਉਂਕਿ ਸਿਰਫ਼ TCP ਸੰਕੇਤ ’ਤੇ ਟਿਕਿਆ ਸੁਰੰਗ ਬਾਰੇ ਦਾਅਵਾ ਅਨੁਮਾਨ ਹੈ।

ਹਰ ਖੋਜ ਲਈ ਪਰਤ, ਕਾਊਂਟਰ ਅਤੇ ਨਿਰੀਖਣ ਬਿੰਦੂ ਦਰਜ ਕਰੋ, ਅਤੇ ਅਗਲਾ ਪਾਠਕ ਤਿੰਨ ਘਟਨਾਵਾਂ ਨੂੰ ਇੱਕ ਕਾਲਪਨਿਕ ਖਰਾਬੀ ਵਿੱਚ ਨਹੀਂ ਮਿਲਾਏਗਾ। ਇਹਨਾਂ ਤਿੰਨ ਖੇਤਰਾਂ ਨਾਲ ਵਧਾਓ ਅਤੇ ਸੁਧਾਰ ਆਮ ਤੌਰ ’ਤੇ ਪਹਿਲੇ ਤੋਂ ਹੀ ਆਉਂਦਾ ਹੈ।