Ritransmetimet TCP kundrejt refuzimeve të ripërsëritjes IPsec: lexoni çdo shtresë

Tre mjete të ndryshme raportojnë tre dublikatë të ndryshëm, dhe vetëm njëri prej tyre është një ngjarje rrjeti mbi të cilën mund të veproni. Një ritransmetim TCP është një dërgues që ridërgon një interval, një ACK i dyfishtë është një marrës që përsërit një konfirmim, dhe një refuzim i ripërsëritjes ESP është një shoqatë sigurie që refuzon një numër sekuence që e ka pranuar tashmë. Asnjëri prej të treve nuk nënkupton tjetrin. Lexoni çdo numërues në shtresën që e prodhon përpara se t’i lidhni në një histori.

Tre numërues që nuk matin kurrë të njëjtën ngjarje

Shënimi i ritransmetimit TCP do të thotë që dërguesi vendosi përsëri një interval sekuence në tel. Humbja është një nga arsyet, dhe kapja që keni mund thjesht të mos ketë paketën origjinale ose konfirmimin që do të shpjegonte kohën. Një ACK i dyfishtë është marrësi që përsërit një konfirmim kumulativ sipas rregullave të rikuperimit TCP, që nuk është as shkrim i dyfishtë i aplikacionit as kopje e dytë e të dhënave.

ESP punon në hapësirën e vet të sekuencës. Çdo shoqatë sigurie numëron paketat që dërgon, dhe marrësi mban një dritare numrash që i ka pranuar tashmë, kështu që një paketë ESP që arrin dy herë hidhet vetëm mbi atë bazë. Prandaj një segment TCP i ridërguar udhëton në një paketë ESP të re me një numër sekuence të re, që është sjellja e saktë në të dyja shtresat. Të njëjtat bajt mund të duken të reja në një numërues dhe të vjetra në një tjetër, dhe asnjëra shtresë nuk gënjen.

Çfarë sheh dhe çfarë nuk sheh analizuesi

Filloni me fjalorin e analizuesit, sepse emrat e filtrave përshkruajnë vëzhgime dhe jo brendësinë e pikave fundore. Numërimi me të njëjtët emra që përdor mjeti ju mban të sinqertë për atë që u mat vërtet. Një numërim nga një kapje e paplotë është numërim i asaj që mbijetoi, jo i asaj që ndodhi në tel.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Lexoni informacionin e ekspertit pranë atyre numrave, sepse paralajmërimet për checksum dhe renditje ndryshojnë sa peshë meritojnë. Një gjurmë e bashkuar nga dy sensorë mund të tregojë një kornizë dy herë, dhe numërimi i të dyja kopjeve shpik një ngjarje rikuperimi që nuk ndodhi kurrë.

Numëruesit ESP jetojnë në gjendjen e kernelit

Numrat e sekuencës ESP i përkasin shoqatës së sigurisë, jo rrjedhës TCP, prandaj porta është vendi ku duhet pyetur. Lista e gjendjes raporton numërues paketash dhe gabimesh për çdo shoqatë që asnjë kapje nuk mund t’i rindërtojë.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 përcakton numrin e sekuencës dhe dritaren kundër ripërsëritjes që e konsumon, prandaj numëruesi rritet edhe kur asgjë nuk është gabim. Numrat e sekuencës të jashtëm monotonë pa një anomali TCP përkatëse tregojnë një dërgues tjetër ose një rrugë të dublikuar, jo një stuhi ritransmetimesh. Një kapje e jashtme e një tuneli të kriptuar zakonisht fsheh numrat e sekuencës TCP të brendshëm, prandaj nuk mund të provojë çfarë bëri stiva e brendshme. Kapni brenda tunelit vetëm aty ku politika lejon, dhe mos e çaktivizoni kurrë mbrojtjen kundër ripërsëritjes për të heshtur një paralajmërim të palidhur.

Ku pika e vëzhgimit ndryshon përgjigjen

Përpara se të përshkallëzoni, shkruani se si u mor kapja: ndërfaqja, nëse procesi i kapjes raportoi humbje dhe nëse vulat kohore janë të krahasueshme midis sensorëve. Një pikë vëzhgimi nuk mund të shohë të dy skajet e një rruge, prandaj çdo pohim për sjelljen e marrësit është konkluzion dhe jo matje. Një gjurmë e marrë në portë dhe një gjurmë e marrë në host do të mospajtohen për renditjen nën ngarkesë, dhe ky mospajtim zakonisht i përket kapjes dhe jo tunelit. Korrelimi i dy pamjeve është ajo që e kthen një numërim në provë.

Përdorni një rrjedhë aplikacioni të lejuar dhe shënoni numëruesit e pikave fundore pranë numërimeve të kapjes në të njëjtin moment. Nëse numrat mospajtohen, besoni shtresën që zotëron ngjarjen dhe trajtoni tjetrën si artefakt vëzhgimi derisa të provohet e kundërta. Ai rregull zgjidh shumicën e këtyre rasteve pa prekur konfigurimin e tunelit.

Leximi i numrave në rendin e duhur

Filloni nga shtresa ku u shtrua pyetja: një paralajmërim TCP përgjigjet nga një kapje TCP, dhe një refuzim ESP përgjigjet nga numëruesit e shoqatës së sigurisë në portë. Vetëm atëherë pyesni nëse dy pamjet përshkruajnë të njëjtën paketë. Një përfundim që kërkon të dyja shtresat duhet t’i përmendë të dyja, sepse një pohim për tunelin i mbështetur vetëm në një shënim TCP është hamendje.

Shënoni shtresën, numëruesin dhe pikën e vëzhgimit për çdo gjetje, dhe lexuesi i radhës nuk do të shkrijë tre ngjarje në një defekt imagjinar. Përshkallëzoni me ato tre fusha dhe korrigjimi zakonisht rrjedh nga e para.