TCP పునఃప్రసారాలు మరియు IPsec రీప్లే తిరస్కరణలు: ప్రతి పొరను చదవండి

మూడు వేర్వేరు సాధనాలు మూడు వేర్వేరు నకిలీలను నివేదిస్తాయి, మరియు వాటిలో మీరు చర్య తీసుకోగల నెట్‌వర్క్ సంఘటన ఒకటే. TCP పునఃప్రసారం అంటే పంపినవారు ఒక పరిధిని మళ్లీ పంపడం, నకిలీ ACK అంటే స్వీకర్త ఒక ధృవీకరణను పునరావృతం చేయడం, మరియు ESP రీప్లే తిరస్కరణ అంటే భద్రతా సంఘం ఇప్పటికే అంగీకరించిన క్రమ సంఖ్యను తిరస్కరించడం. ఈ మూడింటిలో ఏదీ మిగతావాటిని సూచించదు. వాటిని ఒక కథగా కలపడానికి ముందు ప్రతి కౌంటర్‌ను దాన్ని ఉత్పత్తి చేసే పొరలో చదవండి.

ఎప్పుడూ ఒకే సంఘటనను కొలవని మూడు కౌంటర్లు

TCP పునఃప్రసార సంజ్ఞ పంపినవారు మళ్లీ ఒక క్రమ పరిధిని తీగపై ఉంచారని అర్థం. నష్టం దానికి ఒక కారణం, మరియు మీ దగ్గర ఉన్న క్యాప్చర్‌లో అసలు ప్యాకెట్ లేదా సమయాన్ని వివరించే ధృవీకరణ లేకపోవచ్చు. నకిలీ ACK అంటే స్వీకర్త TCP పునరుద్ధరణ నియమాల కింద సంచిత ధృవీకరణను పునరావృతం చేయడం, ఇది అనువర్తన నకిలీ రాత కాదు, డేటా రెండవ ప్రతి కాదు.

ESP తన స్వంత క్రమ స్థలంలో పనిచేస్తుంది. ప్రతి భద్రతా సంఘం తాను పంపే ప్యాకెట్లను సంఖ్యలు వేస్తుంది, స్వీకర్త ఇప్పటికే అంగీకరించిన సంఖ్యల విండోను ఉంచుతాడు, కాబట్టి రెండుసార్లు వచ్చే ESP ప్యాకెట్ ఆ నియమాల ఆధారంగానే తీసివేయబడుతుంది. అందువల్ల మళ్లీ పంపిన TCP విభాగం కొత్త క్రమ సంఖ్యతో కొత్త ESP ప్యాకెట్‌లో ప్రయాణిస్తుంది, ఇది రెండు పొరలలో సరైన ప్రవర్తన. అదే బైట్లు ఒక కౌంటర్‌లో కొత్తగా మరొకదానిలో పాతగా కనిపించవచ్చు, ఏ పొర అబద్ధం చెప్పదు.

విశ్లేషకుడు ఏమి చూడగలడు, ఏమి చూడలేడు

విశ్లేషకుని పదజాలంతో ప్రారంభించండి, ఎందుకంటే ఫిల్టర్ పేర్లు చివరి బిందువుల లోపలి భాగాన్ని కాదు, పరిశీలనలను వివరిస్తాయి. సాధనం ఉపయోగించే అదే పేర్లతో లెక్కించడం వాస్తవంగా ఏమి కొలిచారన్న విషయంలో మిమ్మల్ని నిజాయితీగా ఉంచుతుంది. అసంపూర్ణ క్యాప్చర్ నుండి వచ్చిన లెక్క తీగపై ఏమి జరిగిందో కాదు, ఏమి మిగిలిందో లెక్క.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

ఆ సంఖ్యల పక్కన ఉన్న నిపుణుల సమాచారాన్ని చదవండి, ఎందుకంటే చెక్సమ్ మరియు క్రమం గురించిన హెచ్చరికలు అవి ఎంత బరువుకు అర్హమో మారుస్తాయి. రెండు సెన్సర్ల కలిపిన జాడ ఒక ఫ్రేమ్‌ను రెండుసార్లు చూపవచ్చు, రెండు ప్రతులను లెక్కించడం ఎప్పుడూ జరగని పునరుద్ధరణ సంఘటనను సృష్టిస్తుంది.

ESP కౌంటర్లు కర్నెల్ స్థితిలో నివసిస్తాయి

ESP క్రమ సంఖ్యలు TCP ప్రవాహానివి కాదు, భద్రతా సంఘానివి, కాబట్టి గేట్‌వేయే అడగాల్సిన స్థలం. స్థితి జాబితా ప్రతి సంఘానికి ప్యాకెట్ మరియు లోపాల కౌంటర్లను నివేదిస్తుంది, వాటిని ఏ క్యాప్చర్ తిరిగి నిర్మించలేదు.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 క్రమ సంఖ్యను మరియు దాన్ని వినియోగించే రీప్లే నిరోధక విండోను నిర్వచిస్తుంది, అందుకే ఏదీ తప్పుగా లేకున్నా కౌంటర్ పెరుగుతుంది. సంబంధిత TCP అసాధారణత లేని ఏకరీతి బాహ్య క్రమ సంఖ్యలు పునఃప్రసార తుఫాను వైపు కాదు, మరొక పంపినవారు లేదా నకిలీ మార్గం వైపు సూచిస్తాయి. గుప్తీకరించిన సొరంగం బాహ్య క్యాప్చర్ సాధారణంగా లోపలి TCP క్రమ సంఖ్యలను దాచుతుంది, కాబట్టి లోపలి స్టాక్ ఏమి చేసిందో నిరూపించలేదు. సొరంగం లోపల విధానం అనుమతించిన చోట మాత్రమే క్యాప్చర్ చేయండి, మరియు సంబంధం లేని హెచ్చరికను నిశ్శబ్దం చేయడానికి ఎప్పుడూ రీప్లే నిరోధాన్ని ఆఫ్ చేయకండి.

పరిశీలన బిందువు సమాధానాన్ని ఎక్కడ మారుస్తుంది

పెంచే ముందు క్యాప్చర్ ఎలా తీసుకున్నారో రాయండి: ఇంటర్‌ఫేస్, క్యాప్చర్ ప్రక్రియ డ్రాప్‌లను నివేదించిందా, మరియు సమయ ముద్రలు సెన్సర్ల మధ్య పోల్చదగినవా. ఒక పరిశీలన బిందువు మార్గం రెండు చివరలను చూడలేదు, కాబట్టి స్వీకర్త ప్రవర్తన గురించి ఏ ప్రకటన అయినా కొలత కాదు, అనుమానం. గేట్‌వేపై తీసుకున్న జాడ మరియు హోస్ట్‌పై తీసుకున్న జాడ భారం కింద క్రమం గురించి ఏకీభవించవు, ఆ భేదం సాధారణంగా సొరంగానిది కాదు, క్యాప్చర్‌ది. రెండు దృశ్యాలను సహసంబంధం చేయడమే లెక్కను సాక్ష్యంగా మారుస్తుంది.

అనుమతించిన ఒక అనువర్తన ప్రవాహాన్ని ఉపయోగించి అదే క్షణంలో క్యాప్చర్ లెక్కల పక్కన చివరి బిందువుల కౌంటర్లను నమోదు చేయండి. సంఖ్యలు ఏకీభవించకపోతే సంఘటన యజమాని అయిన పొరను నమ్మి, మరొకదాన్ని వ్యతిరేకం నిరూపించబడే వరకు పరిశీలన కళాఖండంగా పరిగణించండి. ఆ నియమం సొరంగ కాన్ఫిగరేషన్‌ను తాకకుండా ఈ టికెట్లలో చాలావాటిని పరిష్కరిస్తుంది.

సంఖ్యలను సరైన క్రమంలో చదవడం

ప్రశ్న అడిగిన పొర నుండి ప్రారంభించండి: TCP హెచ్చరికకు TCP క్యాప్చర్ నుండి సమాధానం, ESP తిరస్కరణకు గేట్‌వేపై భద్రతా సంఘ కౌంటర్ల నుండి సమాధానం. ఆ తర్వాతే రెండు దృశ్యాలు ఒకే ప్యాకెట్‌ను వివరిస్తున్నాయా అని అడగండి. రెండు పొరలు అవసరమయ్యే ముగింపు రెండింటినీ పేర్కొనాలి, ఎందుకంటే TCP సంజ్ఞపై మాత్రమే ఆధారపడిన సొరంగ ప్రకటన ఊహ.

ప్రతి ఆవిష్కరణకు పొర, కౌంటర్ మరియు పరిశీలన బిందువును నమోదు చేయండి, తదుపరి పాఠకుడు మూడు సంఘటనలను ఒక ఊహాత్మక లోపంలో కలపడు. ఆ మూడు క్షేత్రాలతో పెంచండి, సవరణ సాధారణంగా మొదటి దాని నుండే వస్తుంది.