Opakované prenosy TCP verzus zahadzovanie opakovaní IPsec: čítajte každú vrstvu

Tri rôzne nástroje hlásia tri rôzne duplikáty a iba jeden z nich je sieťová udalosť, s ktorou môžete niečo urobiť. Opakovaný prenos TCP je odosielateľ, ktorý znova posiela rozsah, duplicitný ACK je príjemca, ktorý opakuje potvrdenie, a zahodenie opakovania ESP je bezpečnostná asociácia, ktorá odmieta poradové číslo, ktoré už prijala. Žiadne z troch nevyplýva z ostatných. Čítajte každý čítač na vrstve, ktorá ho vytvára, skôr než ich spojíte do jedného príbehu.

Tri čítače, ktoré nikdy nemerajú tú istú udalosť

Anotácia opakovaného prenosu TCP znamená, že odosielateľ znova položil rozsah sekvencie na drôt. Strata je jedným z dôvodov a zachytený záznam, ktorý máte, môže jednoducho postrádať pôvodný paket alebo potvrdenie, ktoré by vysvetlilo časovanie. Duplicitný ACK je príjemca, ktorý opakuje kumulatívne potvrdenie podľa pravidiel obnovy TCP, čo nie je ani duplicitný zápis aplikácie, ani druhá kópia údajov.

ESP pracuje vo vlastnom sekvenčnom priestore. Každá bezpečnostná asociácia čísluje pakety, ktoré odosiela, a príjemca udržiava okno čísel, ktoré už prijal, takže ESP paket, ktorý dorazí dvakrát, je zahodený len na základe týchto pravidiel. Opakovane odoslaný TCP segment preto putuje v novom ESP pakete s novým poradovým číslom, čo je správne správanie na oboch vrstvách. Tie isté bajty môžu vyzerať nové v jednom čítači a staré v inom a ani jedna vrstva neklame.

Čo analyzátor vidí a čo nie

Začnite slovník analýzátora, pretože názvy filtrov opisujú pozorovania, nie vnútro koncových bodov. Počítanie s tými istými názvami, ktoré nástroj používa, vás udrží poctivými v tom, čo bolo skutočne merané. Počet z neúplného záznamu je počet toho, čo prežilo, nie toho, čo sa stalo na drôte.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Čítajte expertné informácie vedľa tých čísel, pretože varovania ku kontrolnému súčtu a poradiu menia, akú váhu si zaslúžia. Zlúčený záznam z dvoch senzorov môže ukázať jeden rámec dvakrát a počítanie oboch kópií vymýšľa udalosť obnovy, ktorá sa nikdy nestala.

Čítače ESP žijú v stave jadra

Poradové čísla ESP patria bezpečnostnej asociácii, nie TCP toku, takže brána je miesto, kde sa pýtať. Výpis stavu uvádza čítače paketov a chýb pre každú asociáciu, ktoré žiadny záznam nedokáže rekonštruovať.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 definuje poradové číslo a okno proti opakovaniu, ktoré ho spotrebúva, a preto čítač rastie, aj keď nie je nič zle. Monotónne vonkajšie poradové čísla bez zodpovedajúcej TCP anomálie ukazujú na iného odosielateľa alebo duplikovanú cestu, nie na búrku opakovaných prenosov. Vonkajší záznam šifrovaného tunela zvyčajne skrýva vnútorné poradové čísla TCP, takže nemôže dokázať, čo urobil vnútorný zásobník. Zaznamenávajte vnútri tunela len tam, kde to politika dovoľuje, a nikdy nevypínajte ochranu proti opakovaniu, aby ste umlčali nesúvisiace varovanie.

Kde pozorovací bod mení odpoveď

Pred eskaláciou zapíšte, ako bol záznam vytvorený: rozhranie, či proces záznamu hlásil straty a či sú časové značky medzi senzormi porovnateľné. Jeden pozorovací bod nevidí oba konce cesty, takže každé tvrdenie o správaní príjemcu je odvodenie, nie meranie. Záznam vytvorený na bráne a záznam vytvorený na hostiteľovi sa budú v poradí pri záťaži rozchádzať a tento rozpor zvyčajne patrí záznamu, nie tunelu. Korelácia dvoch pohľadov je to, čo mení počítanie na dôkaz.

Použite jeden povolený aplikačný tok a poznamenajte čítače koncových bodov vedľa počtov zo záznamu v tom istom okamihu. Ak sa čísla rozchádzajú, verte vrstve, ktorá udalosť vlastní, a druhú považujte za artefakt pozorovania, kým sa nepreukáže opak. Toto pravidlo vyrieši väčšinu takýchto prípadov bez zásahu do konfigurácie tunela.

Čítanie čísel v správnom poradí

Začnite vrstvou, kde bola otázka položená: na varovanie TCP sa odpovedá zo záznamu TCP a na zahodenie ESP sa odpovedá z čítačov bezpečnostnej asociácie na bráne. Až potom sa pýtajte, či oba pohľady opisujú ten istý paket. Záver, ktorý potrebuje obe vrstvy, by mal menovať obe, pretože tvrdenie o tuneli opierajúce sa len o anotáciu TCP je dohad.

Zaznamenajte vrstvu, čítač a pozorovací bod pri každom zistení a ďalší čitateľ nespojí tri udalosti do jednej vymyslenej poruchy. Eskalujte s týmito tromi poľami a oprava zvyčajne vyplynie z prvého.