Conntrack NEW on packet ACK: waxa aanay caddaynayn

Diiwaanka dab-demiska waxaa ku yaal hal saf oo aadan filaynin: packet ACK, xaalad conntrack NEW, cinwaan isha oo aan kaa ahayn, dekedda loo socdo oo furan. Tijaabada waa in loo akhriyo sidii xiriir cusub oo soo galaya oo aan cidina fasixin. Waxa safka uu dhab ahaan sheegayo ayaa ka cidhiidhi badan: markii packet-kaas uu gaadhay hook-kan, dabagalku ma lahayn xaalad u dhiganta, packet-kuna wuxuu qaadayay ACK. Kuwani waa laba xaqiiqo oo ku saabsan laba shay oo kala duwan, midkoodna ma aha diiwaan buuxa oo gacan-qabsiga. Waa tan taxanaha aan maro ka hor inta aanan gaadhin gabagabo.

Ka bilow packet-ka, ma aha xukunka

Kala sooc indho-indheynta ka hor inta aanad fasirin. Calaamadaha TCP waxay sharraxaan packet-kan, xaaladda dabagalku waxay sharraxaysaa waxa uu ogaa hook-kaas, qabashadaaduna waxay sharraxaysaa oo kaliya daaqadda aad duubtay.

Saddexdan isku daridda waa habka ACK uu u noqdo “bixiyuhu qof ayuu soo daayay”.

Waxa NEW dhab ahaan ka dhigan yahay hook-ka

is waafajinta conntrack ee iptables waxay diiwaangelisaa NEW sidii packet bilaaba xiriir, ama mid la xiriira xiriir aan weli arag hanti labada dhinac ah. ESTABLISHED waxay ka dhigan tahay in dabagalku arkay packet-yo labada dhinac ah. Midkoodna qeexitaannada ma sheegayo in packet-ku ahaa SYN, ama in uu yimid isagoo aan taariikh lahayn.

Dabagalka bilaaba indho-indheynta qulqulka badhtamihiisa wuxuu u kala saaraa packet-ka xiga waxa uu yaqaan, taasina waxay noqon kartaa waxba. Taasi waa hadal ku saabsan xusuusta dabagalka, ma aha ujeeddada martigeliyaha fog.

Dabagal dabacsan ayaa sharraxaya inta badan layaabka ACK

Kernel-ku wuxuu diiwaangelinayaa nf_conntrack_tcp_loose, taas oo u oggolaanaysa dabagalka inuu qaato xiriirada TCP uusan arkin bilowgooda. Marka dejinta ku jirto qiimaha caadiga ah, ACK ka yimaada badhtamaha qulqulka waxaa loo qaadan karaa qulqul dhisan. Dami, oo isla packet-kaas waxay u badan tahay in loo kala saaro INVALID halkii NEW. Labada natiijo waxay sharraxaan xeerarka dabagalka, ma aha taariikhda barnaamijka.

Marka hubi dejintaas ka hor inta aanad ka dhisin aragti calaamadda.

Ka reeb sababaha caajiska ah taxanahan

Inta badan dhacdooyinka NEW-on-ACK ee aan daba-galay waxay ku dhammaadeen mid ka mid ah kuwan, dhammaantoodna way fudud yihiin in la hubiyo:

• Shaxda conntrack waa la nadiifiyay, ama dabagalka dib ayaa loo bilaabay.
• Martigeliyaha dib ayaa loo bilaabay, ama qulqulka wuxuu u guuray namespace ama qalab kale.
• Dariiqa aan sinnayn wuxuu SYN uga soo saaray waddo aadan qaban.
• NAT waxay dib u qortay tuple, sidaas darteed gelinta hadda lama mid ah waxa aad akhriday.
• Qabashadu goor dambe ayay bilaabatay oo waligeed ma arag bilowga.

Mid kasta oo ka mid ah waxay ka saartaa packet-yadii hore aragtida dabagalka waxayna ka tagtaa kuwa dambe oo aan waxyeello lahayn. Dib u bilaabid ama nadiifin shaxda ayaa ugu fudud in lagu xaqiijiyo uptime iyo diiwaannada. Dariiqa aan sinnayn wuxuu u muuqdaa qabasho hal jiho ah. NAT waa khiyaanada, sababtoo ah tuple-ka dabagalku kaydiyay ma aha tuple-ka lagu daabacay diiwaanka.

Qor kuwaad ka reebtay iyo sida, ka hor inta aanad sii wadin.

Akhri tuple, interface iyo hook

Gelinta conntrack waxaa lagu fureeyaa cinwaanno, dekedo iyo borotokool, sidaas darteed turjumaad kasta waxay beddelaa gelinta la mid ah. Diiwaangeli interface-ka iyo hook-ka sidoo kale, sababtoo ah packet lagu arko interface khaldan ama silsilad kale ka dib wuxuu kuu sheegayaa in waddadu aanay ahayn tan jaantuska. Marka dhacdadu ku lug leedahay VPN, go’aanso inaad eegayso packet-ka gudaha ama qaadaha dibadda. Kadib isbarbar dhig waxa gateway-ga u diiwaangeliyay isla tuple shan qaybood ah.

Laba aragti oo is khilaafsan oo ku saabsan hal qulqul ayaa ka war badan mid kasta oo keligiis ah.

Goorma ay mudan tahay in la kordhiyo

Kordhi marka aad tusi karto adeeg la gaadhi karo oo aan ahayn inuu sidaas ahaado, oo ay la socdaan qulqulka, siyaasadda fasixday iyo caddaynta labada daraf. Ha ka warbixin cillad bixiye ku saleysan hal calaamad xaalad ama hal qabasho qayb ah, sababtoo ah warbixintaas waxaa lagu xiri doonaa sharraxaadda aad hadda akhriday. Haddii adeeggu dhab ahaan bannaan yahay, mulkiilaha xadkaas ayaa ah qofka saxda ah ee hagaajin kara, khalka naqshadeynta dekedda ama dhageyste aan ulakac ahayn ayaa sabab ka badan bug.

Kadib xir farqiga muuqashada ee u oggolaaday hal packet inuu u ekaado fadhi dhan.