TCP دوبارہ ارسال بمقابلہ IPsec ری پلے مستردیاں: ہر طبقہ پڑھیں

تین مختلف اوزار تین مختلف نقول کی رپورٹ کرتے ہیں، اور ان میں سے صرف ایک ایسا نیٹ ورک واقعہ ہے جس پر آپ کارروائی کر سکتے ہیں۔ TCP دوبارہ ارسال کا مطلب ہے بھیجنے والا کوئی حد دوبارہ بھیجتا ہے، نقل ACK کا مطلب ہے وصول کنندہ کوئی تصدیق دہراتا ہے، اور ESP ری پلے مستردی کا مطلب ہے کوئی حفاظتی انجمن ایسے ترتیب نمبر سے انکار کرتی ہے جو وہ پہلے قبول کر چکی ہے۔ ان تینوں میں سے کوئی بھی دوسروں کو لازم نہیں کرتا۔ انہیں ایک کہانی میں جوڑنے سے پہلے ہر شمار کنندہ اسی تہہ میں پڑھیں جو اسے پیدا کرتی ہے۔

تین شمار کنندے جو کبھی ایک واقعہ نہیں ناپتے

TCP دوبارہ ارسال کا نشان بتاتا ہے کہ بھیجنے والے نے ترتیب کی ایک حد دوبارہ تار پر رکھی ہے۔ نقصان اس کی ایک وجہ ہے، اور آپ کے پاس موجود کیپچر میں اصل پیکٹ یا وہ تصدیق نہ ہو جو وقت کی وضاحت کرے۔ نقل ACK کا مطلب ہے وصول کنندہ TCP بحالی قواعد کے تحت جمعی تصدیق دہراتا ہے، جو نہ تو ایپلیکیشن کی دوہری تحریر ہے اور نہ ڈیٹا کی دوسری نقل۔

ESP اپنی ہی ترتیب کی فضا میں کام کرتا ہے۔ ہر حفاظتی انجمن اپنے بھیجے گئے پیکٹوں کو نمبر دیتی ہے، اور وصول کنندہ پہلے قبول شدہ نمبروں کی ایک کھڑکی رکھتا ہے، اس لیے دو بار آنے والا ESP پیکٹ صرف اسی بنیاد پر خارج ہوتا ہے۔ اسی لیے دوبارہ بھیجا گیا TCP قطعہ نئے ترتیب نمبر کے ساتھ نئے ESP پیکٹ میں سفر کرتا ہے، جو دونوں تہوں پر درست رویہ ہے۔ وہی بائٹ ایک شمار کنندہ میں نئے اور دوسرے میں پرانے دکھائی دے سکتے ہیں، اور کوئی تہہ جھوٹ نہیں بولتی۔

تجزیہ کار کیا دیکھ سکتا ہے اور کیا نہیں

تجزیہ کار کی اصطلاحات سے شروع کریں، کیونکہ فلٹر کے نام اختتامی نقطوں کا اندرونی حصہ نہیں بلکہ مشاہدات بیان کرتے ہیں۔ اوزار جو نام استعمال کرتا ہے انہی ناموں سے گننا آپ کو اس بارے میں ایماندار رکھتا ہے کہ واقعی کیا ناپا گیا۔ نامکمل کیپچر سے حاصل گنتی اس بات کی گنتی ہے کہ کیا بچا، اس بات کی نہیں کہ تار پر کیا ہوا۔

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

ان اعداد کے پاس موجود ماہر معلومات پڑھیں، کیونکہ چیک سم اور ترتیب کے انتباہ بدلتے ہیں کہ انہیں کتنا وزن ملنا چاہیے۔ دو سینسر کا ملا ہوا سراغ ایک فریم دو بار دکھا سکتا ہے، اور دونوں نقول گننا ایسا بحالی واقعہ بنا دیتا ہے جو کبھی نہیں ہوا۔

ESP شمار کنندے کرنل حالت میں رہتے ہیں

ESP ترتیب نمبر TCP بہاؤ کے نہیں بلکہ حفاظتی انجمن کے ہیں، اس لیے گیٹ وے ہی پوچھنے کی جگہ ہے۔ حالت کی فہرست ہر انجمن کے لیے پیکٹ اور خرابی کے شمار کنندے بتاتی ہے جنہیں کوئی کیپچر دوبارہ نہیں بنا سکتا۔

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 ترتیب نمبر اور اسے استعمال کرنے والی ری پلے مخالف کھڑکی کی تعریف کرتا ہے، اسی لیے کچھ غلط نہ ہونے پر بھی شمار کنندہ بڑھتا ہے۔ متعلقہ TCP بے قاعدگی کے بغیر یکساں بیرونی ترتیب نمبر دوبارہ ارسال کے طوفان کی طرف نہیں بلکہ کسی دوسرے بھیجنے والے یا دوہرائے گئے راستے کی طرف اشارہ کرتے ہیں۔ خفیہ کاری شدہ سرنگ کا بیرونی کیپچر عام طور پر اندرونی TCP ترتیب نمبر چھپا دیتا ہے، اس لیے وہ ثابت نہیں کر سکتا کہ اندرونی اسٹیک نے کیا کیا۔ سرنگ کے اندر صرف وہیں کیپچر کریں جہاں پالیسی اجازت دے، اور غیر متعلقہ انتباہ کو خاموش کرنے کے لیے کبھی ری پلے مخالف تحفظ بند نہ کریں۔

مشاہدے کا نقطہ جواب کہاں بدلتا ہے

بڑھانے سے پہلے لکھیں کہ کیپچر کیسے لیا گیا: انٹرفیس، کیا کیپچر عمل نے ڈراپ کی اطلاع دی، اور کیا وقت کے نشان سینسروں کے درمیان موازنہ کے قابل ہیں۔ مشاہدے کا ایک نقطہ راستے کے دونوں سرے نہیں دیکھ سکتا، اس لیے وصول کنندہ کے رویے کے بارے میں کوئی بھی بیان پیمائش نہیں بلکہ اندازہ ہے۔ گیٹ وے پر لیا گیا سراغ اور ہوسٹ پر لیا گیا سراغ بوجھ کے تحت ترتیب پر متفق نہیں ہوں گے، اور وہ اختلاف عام طور پر سرنگ کا نہیں بلکہ کیپچر کا ہوتا ہے۔ دو نظریات کو باہم جوڑنا ہی گنتی کو ثبوت میں بدلتا ہے۔

ایک اجازت شدہ ایپلیکیشن بہاؤ استعمال کریں اور اسی لمحے کیپچر کی گنتیوں کے ساتھ اختتامی نقطوں کے شمار کنندے درج کریں۔ اگر اعداد متفق نہ ہوں تو اس تہہ پر بھروسہ کریں جو واقعے کی مالک ہے اور دوسرے کو اس وقت تک مشاہداتی اثر سمجھیں جب تک الٹا ثابت نہ ہو۔ وہ قاعدہ سرنگ کی ترتیب کو چھوئے بغیر ان میں سے بیشتر ٹکٹوں کا حل کرتا ہے۔

اعداد کو درست ترتیب میں پڑھنا

جس تہہ میں سوال پوچھا گیا وہیں سے شروع کریں: TCP انتباہ کا جواب TCP کیپچر سے ملتا ہے، اور ESP مستردی کا جواب گیٹ وے پر حفاظتی انجمن کے شمار کنندوں سے ملتا ہے۔ اس کے بعد ہی پوچھیں کہ کیا دونوں نظریات ایک ہی پیکٹ بیان کرتے ہیں۔ جس نتیجے کے لیے دونوں تہیں درکار ہوں اسے دونوں کے نام لینے چاہئیں، کیونکہ صرف TCP نشان پر ٹکا سرنگ کا دعویٰ اندازہ ہے۔

ہر دریافت کے لیے تہہ، شمار کنندہ اور مشاہدے کا نقطہ درج کریں، اور اگلا قاری تین واقعات کو ایک خیالی خرابی میں نہیں ملائے گا۔ انہی تین میدانوں کے ساتھ بڑھائیں اور اصلاح عام طور پر پہلے ہی سے آتی ہے۔