ACK paketidagi conntrack NEW: bu nimani isbotlamaydi

Xavfsizlik devori jurnalida siz kutmagan bitta satr bor: ACK paketi, conntrack holati NEW, sizga tegishli bo’lmagan manba manzil, maqsad porti ochiq. Buni hech kim ruxsat bermagan yangi kiruvchi ulanish deb o’qish vasvasasi bor. Satr aslida aytadigan narsa torroq: bu paket ushbu hook-ga yetib kelganda kuzatuvchida mos holat yo’q edi va paket ACK olib yurgan. Bular ikki xil narsa haqida ikki fakt va ikkalasi ham qo’l berib ko’rishishning to’liq yozuvi emas. Xulosa qilishdan oldin men o’tadigan tartib shu.

Hukmdan emas, paketdan boshlang

Izohlashdan oldin kuzatishlarni ajrating. TCP bayroqlari bu paketni tavsiflaydi, kuzatuvchining holati u hook-da nimani bilganini tavsiflaydi, sizning ushlashingiz esa faqat yozib olgan oynani tavsiflaydi.

Bu uchtasini aralashtirish — ACK “provayder kimnidir ichkariga kiritdi”ga aylanish yo’li.

NEW hook-da aslida nimani anglatadi

iptables conntrack mosligi NEW-ni ulanishni boshlovchi paket yoki hali ikki yo’nalishda trafik ko’rmagan ulanishga tegishli paket sifatida hujjatlashtiradi. ESTABLISHED kuzatuvchi ikki yo’nalishda ham paketlarni ko’rganini bildiradi. Ikkala ta’rif ham paket SYN bo’lganini yoki tarixsiz kelganini aytmaydi.

Oqimni o’rtasidan kuzatishni boshlagan kuzatuvchi keyingi paketni bilganiga qarab tasniflaydi va bu hech narsa bo’lmasligi mumkin. Bu kuzatuvchi xotirasi haqida gap, uzoqdagi xostning niyati haqida emas.

Bo’sh kuzatish ACK hayratlarining ko’pini tushuntiradi

Yadro hujjatlashtiradi nf_conntrack_tcp_loose, bu kuzatuvchiga boshlanishini ko’rmagan TCP ulanishlarini olishga imkon beradi. Sozlama o’z standart qiymatida bo’lsa, oqim o’rtasidan kelgan ACK o’rnatilgan oqim sifatida qabul qilinishi mumkin. Uni o’chirsangiz, xuddi shu paket NEW o’rniga INVALID deb tasniflanish ehtimoli yuqori. Ikkala natija ham kuzatuvchi qoidalarini tavsiflaydi, ilova tarixini emas.

Shuning uchun yorliq ustida nazariya qurishdan oldin o’sha sozlamani tekshiring.

Zerikarli sabablarni shu tartibda istisno qiling

Men kuzatgan NEW-on-ACK hodisalarining ko’pi shulardan birida tugadi va hammasini tekshirish arzon:

• conntrack jadvali tozalandi yoki kuzatuvchi qayta ishga tushdi.
• Xost qayta yuklandi yoki oqim boshqa namespace yoki qurilmaga o’tdi.
• Asimmetrik marshrutlash SYN-ni siz ushlamayotgan yo’lga chiqardi.
• NAT tuple-ni qayta yozdi, shuning uchun yozuv endi siz o’qigan narsaga mos kelmaydi.
• Ushlash kech boshlandi va boshlanishini hech qachon ko’rmadi.

Ularning har biri avvalgi paketlarni kuzatuvchi ko’rish maydonidan olib tashlaydi, keyingilarini esa buzilmasdan qoldiradi. Qayta yuklash yoki jadvalni tozalashni uptime va jurnallardan tasdiqlash eng oson. Asimmetrik marshrutlash bir tomonlama ushlash sifatida ko’rinadi. NAT ayyor, chunki kuzatuvchi saqlagan tuple jurnalga bosilgan tuple emas.

Davom etishdan oldin qaysilarini va qanday istisno qilganingizni yozib qo’ying.

tuple, interfeys va hook-ni o’qing

conntrack yozuvi manzillar, portlar va protokol bilan kalitlanadi, shuning uchun har qanday tarjima qaysi yozuv mos kelishini o’zgartiradi. Interfeys va hook-ni ham yozib oling, chunki noto’g’ri interfeysda yoki boshqa zanjirdan keyin ko’rilgan paket yo’l diagrammadagidek emasligini aytadi. Hodisa VPN bilan bog’liq bo’lsa, ichki paketga yoki tashqi tashuvchiga qarab turganingizni aniqlang. Keyin shlyuz xuddi shu besh qismli tuple uchun yozgan narsa bilan solishtiring.

Bitta oqimning bir-biriga zid ikki ko’rinishi har biridan alohida ko’proq ma’lumot beradi.

Qachon eskalatsiya qilish arziydi

Erishish mumkin bo’lgan va bo’lmasligi kerak bo’lgan xizmatni oqim, unga ruxsat bergan siyosat va ikki tomondan dalillar bilan ko’rsata olsangiz, eskalatsiya qiling. Faqat bitta holat yorlig’i yoki bitta qismli ushlash asosida provayder nuqsoni haqida xabar bermang, chunki bu xabar siz hozir o’qigan tushuntirish bilan yopiladi. Agar xizmat haqiqatan ochiq bo’lsa, o’sha chegara egasi uni tuzatadigan to’g’ri shaxs, va xatodan ko’ra delegatsiya qilingan port xaritasi yoki tasodifiy tinglovchi ehtimoliyroq sabab.

Keyin bitta paketni butun sessiyaday ko’rsatgan ko’rinish bo’shlig’ini yopib qo’ying.