Conntrack NEW kwenye pakiti ya ACK: kile kisichothibitisha

Katika kumbukumbu ya ukuta wa moto kuna mstari mmoja ambao hukutarajia: pakiti ya ACK, hali ya conntrack NEW, anwani ya chanzo ambayo si yako, bandari ya lengo iko wazi. Jaribu ni kuisoma kama muunganisho mpya unaoingia ambao hakuna aliyeruhusu. Kile mstari unachosema kwa kweli ni finyu zaidi: wakati pakiti hiyo ilipofika kwenye hook hii, kifuatiliaji hakikuwa na hali inayolingana, na pakiti ilikuwa imebeba ACK. Hizi ni hoja mbili kuhusu mambo mawili tofauti, na hakuna hata moja iliyo nakala kamili ya maafikiano ya mkono. Huu ni mpangilio ninaopitia kabla ya kufikia hitimisho.

Anza na pakiti, si hukumu

Tenganisha maangalizi kabla ya kuyafasiri. Bendera za TCP zinaelezea pakiti hii, hali ya kifuatiliaji inaelezea kile kilichojua kwenye hook hiyo, na kunasa kwako kunaelezea dirisha ulilorekodi pekee.

Kuchanganya hivyo vitatu ndiyo njia ambayo ACK inakuwa “mtoa huduma alimruhusu mtu kuingia”.

NEW inamaanisha nini kwa kweli kwenye hook

ulinganishaji wa conntrack wa iptables unaandika NEW kama pakiti inayoanza muunganisho, au inayohusiana na muunganisho ambao bado haujaona trafiki katika pande zote mbili. ESTABLISHED inamaanisha kifuatiliaji kimeona pakiti pande zote mbili. Hakuna fasili yoyote inayosema pakiti ilikuwa SYN, wala kwamba ilifika bila historia.

Kifuatiliaji kinachoanza kuangalia mtiririko katikati huainisha pakiti inayofuata kulingana na kile kinachojua, na hilo linaweza kuwa hakuna kitu. Hiyo ni kauli kuhusu kumbukumbu ya kifuatiliaji, si kuhusu nia ya mwenyeji wa mbali.

Ufuatiliaji legevu unaelezea furaha nyingi za ACK

Kiini kinaandika nf_conntrack_tcp_loose, ambayo inamruhusu kifuatiliaji kuchukua miunganisho ya TCP ambayo haikuona mwanzo wake. Kwa mpangilio ukiwa kwenye thamani yake chaguo-msingi, ACK kutoka katikati ya mtiririko inaweza kukubaliwa kama mtiririko ulioimarika. Izime na pakiti hiyo hiyo ina uwezekano mkubwa wa kuainishwa kama INVALID badala ya NEW. Matokeo yote mawili yanaelezea kanuni za kifuatiliaji, si historia ya programu.

Kwa hiyo angalia mpangilio huo kabla ya kujenga nadharia juu ya lebo.

Ondoa sababu zinazochosha kwa mpangilio huu

Matukio mengi ya NEW-juu-ACK niliyofuatilia yaliishia kwenye moja ya haya, na yote ni rahisi kukagua:

• Jedwali la conntrack lilifutwa, au kifuatiliaji kilianzishwa upya.
• Mwenyeji alianzishwa upya, au mtiririko ulihamia namespace au kifaa kingine.
• Uelekezaji usio sawa ulitoa SYN nje kwa njia ambayo huikamati.
• NAT iliandika upya tuple, kwa hiyo ingizo haliendani tena na ulichosoma.
• Kunasa kulianza kwa kuchelewa na hakukuona mwanzo kamwe.

Kila moja ya haya huondoa pakiti za awali kutoka kwenye mwonekano wa kifuatiliaji na kuacha zile za baadaye zikiwa salama. Kuanzisha upya au kufuta jedwali ndiko rahisi kuthibitisha kutoka uptime na kumbukumbu. Uelekezaji usio sawa huonekana kama kunasa kwa upande mmoja. NAT ndiyo yenye hila, kwa sababu tuple aliyohifadhi kifuatiliaji si tuple iliyochapishwa kwenye kumbukumbu.

Andika ni zipi ulizoondoa, na jinsi gani, kabla ya kuendelea.

Soma tuple, kiolesura na hook

Ingizo la conntrack linafungwa kwa anwani, bandari na itifaki, kwa hiyo tafsiri yoyote hubadilisha ingizo gani linalolingana. Rekodi pia kiolesura na hook, kwa sababu pakiti inayoonekana kwenye kiolesura kisichofaa au baada ya mnyororo mwingine inakuambia njia si ile ya mchoro. Wakati tukio linahusisha VPN, amua ikiwa unaangalia pakiti ya ndani au mtoa huduma wa nje. Kisha linganisha na kile lango lililorekodi kwa tuple hiyo ya sehemu tano.

Maoni mawili ya mtiririko mmoja yasiyokubaliana yana maelezo zaidi kuliko moja yao peke yake.

Ni lini inafaa kupandisha ngazi

Pandisha ngazi ukiweza kuonyesha huduma inayofikika na ambayo haipaswi kuwa hivyo, pamoja na mtiririko, sera iliyoiruhusu na ushahidi kutoka pande zote mbili. Usiripoti kasoro ya mtoa huduma kwa msingi wa lebo moja ya hali au kunasa moja kwa sehemu, kwa sababu ripoti hiyo itafungwa kwa maelezo uliyosoma hivi punde. Ikiwa huduma kweli iko wazi, mmiliki wa mpaka huo ndiye mtu sahihi wa kuirekebisha, na upangaji wa bandari uliokabidhiwa au msikilizaji asiye na nia ni sababu inayowezekana zaidi kuliko hitilafu.

Kisha funga pengo la mwonekano lililoruhusu pakiti moja ionekane kama kikao kizima.