TCP qayta uzatishlari IPsec takrorlash radlariga qarshi: har bir qatlamni o‘qing

Uch xil vosita uch xil dublikat haqida xabar beradi va ulardan faqat bittasi siz chora ko‘rishingiz mumkin bo‘lgan tarmoq hodisasidir. TCP qayta uzatish — jo‘natuvchining diapazonni qayta yuborishi, takroriy ACK — qabul qiluvchining tasdiqni takrorlashi, ESP takrorlash raddi esa allaqachon qabul qilgan tartib raqamini rad etuvchi xavfsizlik birlashmasidir. Uchalasining hech biri boshqalarini bildirmaydi. Ularni bitta hikoyaga birlashtirishdan oldin har bir hisoblagichni uni yaratadigan qatlamda o‘qing.

Hech qachon bir hodisani o‘lchamaydigan uch hisoblagich

TCP qayta uzatish belgisi jo‘natuvchi tartib diapazonini yana simga qo‘yganini bildiradi. Yo‘qotish buning sabablaridan biri, va sizdagi yozuvda asl paket yoki vaqtni tushuntiradigan tasdiq yo‘q bo‘lishi mumkin. Takroriy ACK — qabul qiluvchining TCP tiklash qoidalari bo‘yicha jamlangan tasdiqni takrorlashi, bu na ilovaning takroriy yozuvi, na ma’lumotlarning ikkinchi nusxasi.

ESP o‘z tartib fazosida ishlaydi. Har bir xavfsizlik birlashmasi yuboradigan paketlarini raqamlaydi, qabul qiluvchi esa allaqachon qabul qilgan raqamlar oynasini saqlaydi, shuning uchun ikki marta kelgan ESP paketi faqat shu asosda tashlanadi. Shu sababli qayta yuborilgan TCP segmenti yangi tartib raqamli yangi ESP paketida harakatlanadi, bu ikkala qatlamda ham to‘g‘ri xatti-harakat. Xuddi shu baytlar bir hisoblagichda yangi, boshqasida eski ko‘rinishi mumkin va hech bir qatlam yolg‘on gapirmaydi.

Analizator nimani ko‘ra oladi va nimani ko‘ra olmaydi

Analizator lug‘atidan boshlang, chunki filtr nomlari oxirgi nuqtalarning ichini emas, kuzatishlarni tasvirlaydi. Vosita ishlatadigan o‘sha nomlar bilan sanash sizni aslida nima o‘lchanganligi borasida halol tutadi. To‘liq bo‘lmagan yozuvdan olingan son — simda bo‘lganning emas, omon qolganning soni.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

O‘sha raqamlar yonidagi ekspert ma’lumotini o‘qing, chunki nazorat yig‘indisi va tartib haqidagi ogohlantirishlar ular qanchalik og‘irlikka loyiqligini o‘zgartiradi. Ikki sensorning birlashtirilgan izi bitta kadrni ikki marta ko‘rsatishi mumkin, ikkala nusxani sanash esa hech qachon bo‘lmagan tiklanish hodisasini o‘ylab topadi.

ESP hisoblagichlari yadro holatida yashaydi

ESP tartib raqamlari TCP oqimiga emas, xavfsizlik birlashmasiga tegishli, shuning uchun shlyuz so‘rash kerak bo‘lgan joy. Holat ro‘yxati har bir birlashma bo‘yicha paket va xato hisoblagichlarini xabar qiladi, ularni hech bir yozuv qayta tuza olmaydi.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 tartib raqamini va uni iste’mol qiluvchi takrorlashga qarshi oynani belgilaydi, shuning uchun hech narsa noto‘g‘ri bo‘lmasa ham hisoblagich oshadi. Tegishli TCP anomaliyasisiz monotonin tashqi tartib raqamlari qayta uzatish bo‘roniga emas, boshqa jo‘natuvchiga yoki takrorlangan yo‘lga ishora qiladi. Shifrlangan tunnelning tashqi yozuvi odatda ichki TCP tartib raqamlarini yashiradi, shuning uchun ichki stek nima qilganini isbotlay olmaydi. Tunnel ichida faqat siyosat ruxsat bergan joyda yozib oling va aloqasiz ogohlantirishni jim qilish uchun hech qachon takrorlashga qarshi himoyani o‘chirmang.

Kuzatish nuqtasi javobni qayerda o‘zgartiradi

Eskalatsiya qilishdan oldin yozuv qanday olinganini yozing: interfeys, yozib olish jarayoni yo‘qotishlar haqida xabar berganmi va vaqt belgilari sensorlar orasida taqqoslanadimi. Bitta kuzatish nuqtasi yo‘lning ikki uchini ko‘ra olmaydi, shuning uchun qabul qiluvchining xatti-harakati haqidagi har qanday bayonot o‘lchov emas, xulosa. Shlyuzda olingan iz va xostda olingan iz yuk ostida tartib borasida kelisha olmaydi va bu kelishmovchilik odatda tunnelga emas, yozuvga tegishli. Ikki ko‘rinishni korrelyatsiya qilish sonni dalilga aylantiradigan narsadir.

Bitta ruxsat etilgan ilova oqimidan foydalaning va ayni paytda yozuv sonlari yoniga oxirgi nuqtalarning hisoblagichlarini yozib qo‘ying. Agar sonlar kelishmasa, hodisaga egalik qiladigan qatlamga ishoning, ikkinchisini esa aksi isbotlanmaguncha kuzatuv artefakti deb hisoblang. Bu qoida tunnel konfiguratsiyasiga tegmasdan bu ticketlarning ko‘pini hal qiladi.

Sonlarni to‘g‘ri tartibda o‘qish

Savol berilgan qatlamdan boshlang: TCP ogohlantirishiga TCP yozuvidan javob beriladi, ESP raddiga esa shlyuzdagi xavfsizlik birlashmasi hisoblagichlaridan javob beriladi. Shundan keyingina ikki ko‘rinish bir xil paketni tasvirlaydimi deb so‘rang. Ikki qatlam talab qiladigan xulosa ikkalasini ham nomlashi kerak, chunki tunnel haqida faqat TCP belgisiga tayangan da’vo taxmindir.

Har bir topilma uchun qatlam, hisoblagich va kuzatish nuqtasini yozib qo‘ying, keyingi o‘quvchi uch hodisani bitta xayoliy nosozlikka qo‘shmaydi. O‘sha uch maydon bilan eskalatsiya qiling va tuzatish odatda birinchisidan kelib chiqadi.