په ACK پاکټ کې conntrack NEW: دا څه نه ثابتوي

د اوروال د ثبت په فایل کې یوه کرښه ده چې تاسو یې تمه نه لرله: یو ACK پاکټ، د conntrack حالت NEW، د سرچینې پته چې ستاسو نه ده، د منزل پورټ خلاص. هڅونه دا ده چې دا د یوې نوې راغلې اړیکې په توګه ولولو چې چا اجازه نه ده ورکړې. کرښه په رښتیا چې څه وایي هغه تنګتر دی: کله چې هغه پاکټ دې hook ته ورسېد، ټریکر سره سمون لرونکې کومه حالت نه درلوده، او پاکټ ACK لېږداوه. دا دوه جلا شیانو په اړه دوه حقایق دي، او هیڅ یو یې بشپړ لاس ورکولو ثبت نه دی. دا هغه ترتیب دی چې زه یې د پایلې اخستلو دمخه تېرم.

له پریکړې نه، له پاکټ پیل وکړئ

د تفسیر دمخه مشاهدې جلا کړئ. TCP بیرغونه دا پاکټ بیانوي، د ټریکر حالت بیانوي چې په هغه hook کې یې څه پوهېده، او ستاسو نیول یوازې هغه کړکۍ بیانوي چې تاسو ثبت کړې.

د دې درېیو ګډول هغه لاره ده چې ACK «چمتو کوونکي یو څوک دننه پرېښود» کېږي.

په hook کې NEW په رښتیا څه معنی لري

د iptables conntrack سمون NEW داسې پاکټ مستند کوي چې اړیکه پیلوي، یا داسې اړیکې سره تړلی پاکټ چې لا تر اوسه په دواړو لورو کې ټرافیک نه دی لیدلی. ESTABLISHED یعنې ټریکر په دواړو لورو کې پاکټونه لیدلي دي. له دوو تعریفونو هیڅ یو هم نه وایي چې پاکټ SYN و، او نه دا چې بې تاریخي راغلو.

هغه ټریکر چې یو بهیر له مینځه نیول پیلوي، بل پاکټ د خپلې پوهې له مخې طبقه‌بندي کوي، او هغه کېدای شي هیڅ هم نه وي. دا د ټریکر حافظې په اړه خبره ده، نه د لیرې کوربه د نیت په اړه.

سست تعقیب ډېری ACK حیرانتیاوې تشریح کوي

کرنل مستندوي nf_conntrack_tcp_loose، کوم چې ټریکر ته اجازه ورکوي هغه TCP اړیکې واخلي چې پیل یې نه دی لیدلی. کله چې ترتیب په خپل اصلي ارزښت وي، د بهیر له مینځ څخه راغلی ACK کېدای شي د تثبیت شوي بهیر په توګه ومنل شي. دا بند کړئ، او همغه پاکټ به د NEW پرځای د INVALID په توګه طبقه‌بندي کېدو احتمال ډېر وي. دواړه پایلې د ټریکر قواعد بیانوي، نه د اپلیکیشن تاریخ.

نو د لیبل پر بنسټ د تیورۍ جوړولو دمخه هغه ترتیب وګورئ.

ستړي کوونکي لاملونه په دې ترتیب سره وباسئ

زما تعقیب شوي NEW-on-ACK پېښې ډېری په دې کې یو ته ورسېدې، او ټول ګټور دي چې وګورل شي:

• د conntrack جدول خالي شو، یا ټریکر بیا پیل شو.
• کوربه بیا پیل شو، یا بهیر بل namespace یا وسیلې ته ولاړ.
• نامنظم لارښوونه SYN له هغې لارې وویست چې تاسو نیول نه کوئ.
• NAT tuple بیا ولیکه، نو داخله نور له هغه څه سره سمون نه لري چې تاسو لوستلي.
• نیول ناوخته پیل شول او پیل یې هېڅکله ونه لید.

هر یو له دې پخواني پاکټونه د ټریکر له نظره لیرې کوي او وروستیو ته نه زیان رسوي. بیا پیل یا د جدول خالي کول له uptime او ثبتونو څخه تصدیقول تر ټولو اسانه دي. نامنظمه لارښوونه د یوې لوري نیول په توګه ښکاري. NAT چلند کوونکی دی، ځکه چې هغه tuple چې ټریکر ساتلی هغه tuple نه دی چې په ثبت کې چاپ شوی.

دمخه له دې څخه چې کوم یې وباسل او څنګه، ولیکئ.

tuple، انټرفیس او hook ولولئ

د conntrack داخله د پتو، پورټونو او پروتوکول له مخې کیلي کېږي، نو هر ژباړه بدلوي چې کومه داخله سمون لري. انټرفیس او hook هم ولیکئ، ځکه چې په ناسم انټرفیس یا بل زنځیر وروسته لیدل شوی پاکټ وایي چې لاره هغه نه ده چې په انځور کې ده. کله چې پېښه VPN پورې اړه ولري، پرېکړه وکړئ چې دنني پاکټ ته ګورئ یا بهرني لېږدوونکي ته. بیا له هغه سره پرتله کړئ چې ګېټوې د هماغه پنځه برخې tuple لپاره ثبت کړی.

د یو بهیر دوه متضاد لیدونه له هر یو څخه جلا ډېر معلومات ورکوي.

کله چې لوړول ارزښت ولري

کله چې توانیدلی شئ هغه خدمت وښایئ چې د لاسرسي وړ دی او نه باید وي، له بهیر، هغه تګلارې چې اجازه یې ورکړې او د دواړو خواو شواهدو سره، نو لوړ یې کړئ. یوازې د یو حالت لیبل یا یوې جزوي نیولې پر بنسټ د چمتو کوونکي نیمګړتیا راپور مه ورکوئ، ځکه هغه راپور به په هماغه تشریح بند شي چې تاسو همدا اوس لوستله. که خدمت واقعاً خلاص وي، د هغه پولې خاوند هغه سم کس دی چې سم یې کړي، او د باګ په پرتله سپارل شوې پورټ نقشه یا ناڅاپي اورېدونکی ډېر احتمال لرونکی لامل دی.

بیا هغه لیدلوري تشه بنده کړئ چې یو پاکټ ټوله ناسته ښکاره کړ.