Conntrack NEW në një paketë ACK: çfarë nuk provon

Në regjistrin e murit të zjarrit ka një rresht që nuk e prisnit: një paketë ACK, gjendja conntrack NEW, një adresë burimi që nuk është e juaja, porti i destinacionit i hapur. Tundimi është ta lexoni si një lidhje të re hyrëse që askush nuk e autorizoi. Ajo që rreshti thotë në të vërtetë është më e ngushtë: kur ajo paketë arriti në këtë hook, gjurmuesi nuk kishte gjendje përputhëse, dhe paketa mbante një ACK. Këto janë dy fakte për dy gjëra të ndryshme, dhe asnjëri nuk është transkript i plotë i një shtrëngimi duarsh. Ky është rendi që ndjek përpara se të nxjerr një përfundim.

Filloni nga paketa, jo nga vendimi

Ndani vëzhgimet përpara se t’i interpretoni. Flamujt TCP përshkruajnë këtë paketë, gjendja e gjurmuesit përshkruan atë që dinte në atë hook, dhe kapja juaj përshkruan vetëm dritaren që regjistruat.

Përzierja e këtyre të treve është mënyra se si një ACK bëhet «ofruesi lejoi dikë të hyjë».

Çfarë do të thotë NEW në të vërtetë në hook

përputhja conntrack e iptables dokumenton NEW si një paketë që nis një lidhje, ose një të lidhur me një lidhje që nuk ka parë ende trafik në të dy drejtimet. ESTABLISHED do të thotë që gjurmuesi ka parë paketa në të dy drejtimet. Asnjëra prej përcaktimeve nuk thotë se paketa ishte SYN, as që erdhi pa histori.

Një gjurmues që fillon të vëzhgojë një rrjedhë në mes klasifikon paketën tjetër sipas asaj që di, dhe kjo mund të jetë asgjë. Ky është një pohim për kujtesën e gjurmuesit, jo për qëllimin e hostit të largët.

Gjurmimi i lirshëm shpjegon shumicën e surprizave me ACK

Bërthama dokumenton nf_conntrack_tcp_loose, gjë që i lejon gjurmuesit të marrë lidhje TCP, fillimin e të cilave nuk e ka parë. Me cilësimin në vlerën e parazgjedhur, një ACK nga mesi i rrjedhës mund të miratohet si rrjedhë e vendosur. Çaktivizoje dhe e njëjta paketë ka më shumë gjasa të klasifikohet si INVALID në vend të NEW. Të dyja rezultatet përshkruajnë rregullat e gjurmuesit, jo historikun e aplikacionit.

Prandaj kontrollo atë cilësim përpara se të ndërtosh një teori mbi etiketën.

Përjashto shkaqet e mërzitshme në këtë rend

Shumica e ngjarjeve NEW-mbi-ACK që kam gjurmuar përfunduan në një prej këtyre, dhe të gjitha janë të lira për t’u kontrolluar:

• Tabela conntrack u zbraz, ose gjurmuesi u rindez.
• Host-i u rindez, ose rrjedha kaloi në një namespace ose pajisje tjetër.
• Rrugëtimi asimetrik e nxori SYN në një rrugë që nuk po e kapni.
• NAT rishkroi tuple-in, kështu që hyrja nuk përputhet më me atë që lexuat.
• Kapja filloi vonë dhe nuk e pa kurrë fillimin.

Secili prej tyre i heq paketat e mëparshme nga pamja e gjurmuesit dhe i lë të mëvonshmet të paprekura. Një rindezje ose zbrazje e tabelës konfirmohet më lehtë nga uptime dhe regjistrat. Rrugëtimi asimetrik shfaqet si kapje njëdrejtimëshe. NAT është i djallëzuari, sepse tuple-i që ruajti gjurmuesi nuk është tuple-i i shtypur në regjistër.

Shkruani cilat prej këtyre i përjashtuat, dhe si, përpara se të vazhdoni.

Lexoni tuple-in, ndërfaqen dhe hook-un

Një hyrje conntrack është e çelësuar sipas adresave, porteve dhe protokollit, kështu që çdo përkthim ndryshon cila hyrje përputhet. Regjistroni gjithashtu ndërfaqen dhe hook-un, sepse një paketë e parë në ndërfaqen e gabuar ose pas një zinxhiri tjetër ju thotë që rruga nuk është ajo e diagramit. Kur ngjarja përfshin një VPN, vendosni nëse po shikoni paketën e brendshme apo transportuesin e jashtëm. Më pas krahasojeni me atë që portiku regjistroi për të njëjtin tuple pesëpjesësh.

Dy pamje të një rrjedhe që nuk përputhen janë më informuese se secila prej tyre vetëm.

Kur ia vlen të përshkallëzohet

Përshkallëzoni kur mund të tregoni një shërbim që është i arritshëm dhe nuk do të duhej të ishte, bashkë me rrjedhën, politikën që e lejoi dhe dëshmi nga të dy skajet. Mos raportoni një defekt të ofruesit bazuar në një etiketë të vetme gjendjeje ose një kapje të pjesshme, sepse ai raport do të mbyllet me shpjegimin që sapo lexuat. Nëse shërbimi është vërtet i ekspozuar, pronari i asaj kufiri është personi i duhur për ta rregulluar, dhe një hartëzim portesh i deleguar ose një dëgjues i paqëllimtë është shkak më i mundshëm sesa një defekt.

Më pas mbyllni boshllëkun e dukshmërisë që lejoi një paketë të dukej si një sesion i plotë.