TCP yeniden iletimleri ile IPsec tekrar oynatma redleri: her katmanı okuyun

Üç farklı araç üç farklı yinelenen bildirir ve bunlardan yalnızca biri üzerinde işlem yapabileceğiniz bir ağ olayıdır. TCP yeniden iletimi, bir aralığı yeniden gönderen göndericidir, yinelenen ACK, bir onayı yineleyen alıcıdır ve ESP tekrar oynatma reddi, zaten kabul ettiği bir sıra numarasını reddeden bir güvenlik ilişkisidir. Üçünden hiçbiri diğerlerini gerektirmez. Bunları tek bir hikâyede birleştirmeden önce her sayacı onu üreten katmanda okuyun.

Aynı olayı asla ölçmeyen üç sayaç

TCP yeniden iletim notu, göndericinin bir dizi aralığını yeniden hatta koyduğu anlamına gelir. Kayıp bunun nedenlerinden biridir ve elinizdeki yakalama, zamanlamayı açıklayacak özgün paketi veya onayı basitçe içermiyor olabilir. Yinelenen ACK, alıcının TCP kurtarma kurallarına göre birikimli onayı yinelemesidir; bu ne yinelenen bir uygulama yazımıdır ne de verilerin ikinci kopyasıdır.

ESP kendi dizi alanında çalışır. Her güvenlik ilişkisi gönderdiği paketleri numaralandırır ve alıcı, zaten kabul ettiği numaralardan oluşan bir pencere tutar; bu yüzden iki kez gelen bir ESP paketi yalnızca bu gerekçeyle atılır. Bu nedenle yeniden gönderilen TCP segmenti yeni bir sıra numarasıyla yeni bir ESP paketinde yol alır ve bu, her iki katmanda da doğru davranıştır. Aynı baytlar bir sayaçta yeni, diğerinde eski görünebilir ve iki katmandan hiçbiri yalan söylemez.

Analizcinin görüp göremedikleri

Analizcinin sözlüğüyle başlayın, çünkü filtre adları uç noktaların içini değil gözlemleri tanımlar. Aracın kullandığı aynı adlarla saymak, gerçekte neyin ölçüldüğü konusunda sizi dürüst tutar. Eksik bir yakalamadan elde edilen sayım, hatta olanların değil hayatta kalanların sayımıdır.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

O sayıların yanındaki uzman bilgisini okuyun, çünkü sağlama toplamı ve sıralama uyarıları ne kadar ağırlık hak ettiklerini değiştirir. İki sensörden birleştirilmiş bir iz bir çerçeveyi iki kez gösterebilir ve iki kopyayı da saymak hiç yaşanmamış bir kurtarma olayı uydurur.

ESP sayaçları çekirdek durumunda yaşar

ESP sıra numaraları TCP akışına değil güvenlik ilişkisine aittir, bu yüzden sorulacak yer ağ geçididir. Durum listesi, hiçbir yakalamanın yeniden kuramayacağı ilişki başına paket ve hata sayaçlarını bildirir.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 sıra numarasını ve onu tüketen tekrar oynatma karşıtı pencereyi tanımlar; bu yüzden hiçbir şey yanlış olmadığında bile sayaç artar. Karşılık gelen bir TCP anormalliği olmayan tekdüze dış sıra numaraları, bir yeniden iletim fırtınasına değil başka bir göndericiye veya çoğaltılmış bir yola işaret eder. Şifreli bir tünelin dış yakalaması genellikle iç TCP sıra numaralarını gizler, bu yüzden iç yığının ne yaptığını kanıtlayamaz. Yalnızca politikanın izin verdiği yerlerde tünelin içinde yakalayın ve ilgisiz bir uyarıyı susturmak için tekrar oynatma korumasını asla kapatmayın.

Gözlem noktası yanıtı nerede değiştirir

Eskalasyondan önce yakalamanın nasıl alındığını yazın: arayüz, yakalama sürecinin kayıp bildirip bildirmediği ve zaman damgalarının sensörler arasında karşılaştırılabilir olup olmadığı. Tek bir gözlem noktası bir yolun iki ucunu göremez, bu yüzden alıcının davranışı hakkındaki her ifade bir çıkarımdır, ölçüm değil. Ağ geçidinde alınan bir iz ile ana makinede alınan bir iz yük altında sıralama konusunda anlaşamaz ve bu anlaşmazlık genellikle tünele değil yakalamaya aittir. İki görünümü ilişkilendirmek, bir sayımı kanıta dönüştüren şeydir.

İzin verilen tek bir uygulama akışı kullanın ve aynı anda yakalamanın sayılarının yanına uç noktaların sayaçlarını kaydedin. Sayılar anlaşamıyorsa olayı sahiplenen katmana güvenin ve diğerini aksi kanıtlanana kadar gözlem yan ürünü olarak değerlendirin. Bu kural, tünel yapılandırmasına dokunmadan bu biletlerin çoğunu çözer.

Sayıları doğru sırayla okuma

Sorunun sorulduğu katmandan başlayın: TCP uyarısı bir TCP yakalamasından yanıtlanır ve ESP reddi ağ geçidindeki güvenlik ilişkisinin sayaçlarından yanıtlanır. Ancak ondan sonra iki görünümün aynı paketi tanımlayıp tanımlamadığını sorun. İki katmanı gerektiren bir sonuç her ikisini de adlandırmalıdır, çünkü tünel hakkında yalnızca TCP notuna dayanan bir iddia bir tahmindir.

Her bulgu için katmanı, sayacı ve gözlem noktasını kaydedin; sonraki okuyucu üç olayı tek bir hayali arızada birleştirmeyecektir. Bu üç alanla eskale edin ve düzeltme genellikle ilkinden gelir.