Utumaji-upya wa TCP dhidi ya kukataliwa kwa marudio ya IPsec: soma kila tabaka

Zana tatu tofauti huripoti rudufu tatu tofauti, na ni moja tu kati yao ni tukio la mtandao ambalo unaweza kulichukulia hatua. Utumaji-upya wa TCP ni mtumaji anayetuma tena masafa, ACK rudufu ni mpokeaji anayerudia uthibitisho, na kukataliwa kwa marudio ya ESP ni muungano wa usalama unaokataa namba ya mfuatano ambao tayari umeukubali. Hakuna kati ya hayo matatu linalodokeza lingine. Soma kila kihesabu katika tabaka linalokizalisha kabla ya kuvunganisha kuwa hadithi moja.

Vihesabu vitatu ambavyo havipimi kamwe tukio moja

Alama ya utumaji-upya wa TCP inamaanisha mtumaji aliweka tena masafa ya mfuatano kwenye waya. Upotevu ni sababu moja ya hilo, na nasa uliyo nayo huenda haiko na pakiti asilia au uthibitisho ambao ungeeleza muda. ACK rudufu ni mpokeaji anayerudia uthibitisho wa jumla chini ya kanuni za urejeshaji wa TCP, jambo ambalo si maandishi rudufu ya programu wala nakala ya pili ya data.

ESP hufanya kazi katika nafasi yake ya mfuatano. Kila muungano wa usalama huweka namba kwa pakiti anazotuma, na mpokeaji huhifadhi dirisha la namba ambazo tayari amezikubali, kwa hivyo pakiti ya ESP inayofika mara mbili hutupwa kwa msingi huo pekee. Kwa hivyo sehemu ya TCP iliyotumwa upya husafiri katika pakiti mpya ya ESP yenye namba mpya ya mfuatano, ambayo ni tabia sahihi katika tabaka zote mbili. Baiti zilezile zinaweza kuonekana mpya katika kihesabu kimoja na kuukuu katika kingine, na hakuna tabaka linalosema uongo.

Kichanganuzi kinaweza kuona nini na hakiwezi kuona nini

Anza na msamiati wa kichanganuzi, kwa sababu majina ya vichujio hueleza uchunguzi na si ndani ya ncha. Kuhesabu kwa majina yale yale ambayo zana hutumia hukuweka mwaminifu kuhusu kile kilichopimwa kwa kweli. Hesabu kutoka nasa isiyokamilika ni hesabu ya kile kilichonusurika, si kile kilichotokea kwenye waya.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Soma taarifa za kitaalamu kando ya namba hizo, kwa sababu tahadhari za checksum na mpangilio hubadilisha uzito unaostahili. Ufuatiliaji uliounganishwa kutoka sensorer mbili unaweza kuonyesha fremu moja mara mbili, na kuhesabu nakala zote mbili hutunga tukio la urejeshaji ambalo halikutokea kamwe.

Vihesabu vya ESP vinaishi katika hali ya kerneli

Namba za mfuatano za ESP ni za muungano wa usalama, si za mtiririko wa TCP, kwa hivyo lango ndilo mahali pa kuuliza. Orodha ya hali huripoti vihesabu vya pakiti na makosa kwa kila muungano ambavyo hakuna nasa inayoweza kuvijenga upya.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 hufafanua namba ya mfuatano na dirisha la kuzuia marudio linaloihitaji, ndiyo sababu kihesabu hupanda hata wakati hakuna kitu kibaya. Namba za mfuatano za nje zenye mwendo mmoja bila hitilafu ya TCP inayolingana zinaelekeza kwa mtumaji mwingine au njia iliyorudiwa badala ya dhoruba ya utumaji-upya. Nasa ya nje ya handaki lililosimbwa kwa njia fiche kwa kawaida huficha namba za mfuatano za TCP za ndani, kwa hivyo haiwezi kuthibitisha kile safu ya ndani ilifanya. Nasa ndani ya handaki tu mahali sera inaruhusu, na kamwe usizime ulinzi dhidi ya marudio ili kunyamazisha tahadhari isiyohusiana.

Sehemu ya uchunguzi inabadilisha jibu wapi

Kabla ya kupandisha, andika jinsi nasa ilivyochukuliwa: kiolesura, kama mchakato wa nasa uliripoti upotevu, na kama alama za muda zinalinganishwa kati ya sensorer. Sehemu moja ya uchunguzi haiwezi kuona ncha zote mbili za njia, kwa hivyo kila kauli kuhusu tabia ya mpokeaji ni makisio na si kipimo. Ufuatiliaji uliochukuliwa kwenye lango na ule uliochukuliwa kwenye mwenyeji hautakubaliana kuhusu mpangilio chini ya mzigo, na kutokubaliana huko kwa kawaida ni mali ya nasa na si handaki. Kuunganisha mitazamo miwili ndiko kunakobadilisha hesabu kuwa ushahidi.

Tumia mtiririko mmoja wa programu ulioruhusiwa na uandike vihesabu vya ncha kando ya hesabu za nasa wakati huo huo. Ikiwa namba hazikubaliani, amini tabaka linalomiliki tukio na lichukulie lingine kama artefakti ya uchunguzi hadi kinyume kithibitishwe. Kanuni hiyo hutatua tiketi nyingi kati ya hizi bila kugusa usanidi wa handaki.

Kusoma namba kwa mpangilio sahihi

Anza katika tabaka ambapo swali liliulizwa: tahadhari ya TCP hujibiwa kutoka nasa ya TCP, na kukataliwa kwa ESP hujibiwa kutoka vihesabu vya muungano wa usalama kwenye lango. Ndipo tu uulize kama mitazamo miwili inaeleza pakiti moja. Hitimisho linalohitaji tabaka zote mbili linapaswa kutaja zote mbili, kwa sababu dai kuhusu handaki linalotegemea alama ya TCP pekee ni uzushi.

Andika tabaka, kihesabu na sehemu ya uchunguzi kwa kila ugunduzi, na msomaji anayefuata hatayeyusha matukio matatu kuwa hitilafu moja ya kufikirika. Pandisha kwa sehemu hizo tatu na marekebisho kwa kawaida hufuata kutoka ya kwanza.