Truyền lại TCP so với việc loại bỏ phát lại IPsec: đọc từng lớp

Ba công cụ khác nhau báo ba bản trùng khác nhau, và chỉ một trong số đó là sự kiện mạng mà bạn có thể xử lý. Truyền lại TCP là người gửi gửi lại một dải, ACK trùng là người nhận lặp lại một xác nhận, và loại bỏ phát lại ESP là một hiệp hội bảo mật từ chối số thứ tự mà nó đã chấp nhận. Không cái nào trong ba cái ngụ ý cái kia. Đọc từng bộ đếm ở lớp tạo ra nó trước khi bạn ghép chúng thành một câu chuyện.

Ba bộ đếm không bao giờ đo cùng một sự kiện

Chú thích truyền lại TCP nghĩa là người gửi đã đặt lại một dải thứ tự lên đường truyền. Mất mát là một trong những lý do, và bản bắt gói bạn có thể đơn giản là thiếu gói gốc hoặc xác nhận lẽ ra giải thích thời điểm. ACK trùng là người nhận lặp lại một xác nhận tích lũy theo các quy tắc phục hồi TCP, điều này không phải là ghi ứng dụng trùng cũng không phải bản sao thứ hai của dữ liệu.

ESP làm việc trong không gian thứ tự riêng. Mỗi hiệp hội bảo mật đánh số các gói nó gửi, và người nhận giữ một cửa sổ các số đã chấp nhận, vì vậy một gói ESP đến hai lần bị loại bỏ chỉ trên cơ sở đó. Do đó một đoạn TCP được truyền lại đi trong một gói ESP mới với số thứ tự mới, đây là hành vi đúng ở cả hai lớp. Cùng những byte có thể trông mới trong bộ đếm này và cũ trong bộ đếm khác, và không lớp nào nói dối.

Công cụ phân tích thấy gì và không thấy gì

Hãy bắt đầu với từ vựng của công cụ phân tích, vì tên bộ lọc mô tả quan sát chứ không phải bên trong của điểm cuối. Đếm bằng đúng những tên mà công cụ dùng giữ cho bạn trung thực về những gì thực sự được đo. Một con số từ bản bắt gói không đầy đủ là con số của những gì sống sót, không phải những gì đã xảy ra trên đường truyền.

tshark -r trace.pcap -Y "tcp.analysis.retransmission" | wc -l
tshark -r trace.pcap -Y "tcp.analysis.duplicate_ack" | wc -l

Đọc thông tin chuyên gia bên cạnh những con số đó, vì cảnh báo về tổng kiểm tra và thứ tự thay đổi mức độ đáng tin của chúng. Một dấu vết hợp nhất từ hai cảm biến có thể hiển thị một khung hai lần, và đếm cả hai bản sao tạo ra một sự kiện phục hồi chưa từng xảy ra.

Bộ đếm ESP sống trong trạng thái nhân

Số thứ tự ESP thuộc về hiệp hội bảo mật, không thuộc luồng TCP, vì vậy cổng là nơi cần hỏi. Danh sách trạng thái báo cáo bộ đếm gói và lỗi theo từng hiệp hội mà không bản bắt gói nào có thể tái tạo.

ip -s xfrm state
tshark -r trace.pcap -Y "esp" -T fields -e esp.seq | head

RFC 4303 định nghĩa số thứ tự và cửa sổ chống phát lại tiêu thụ nó, đó là lý do bộ đếm tăng ngay cả khi không có gì sai. Các số thứ tự bên ngoài đơn điệu không có bất thường TCP tương ứng chỉ ra một người gửi khác hoặc một đường đi trùng lặp chứ không phải một cơn bão truyền lại. Bản bắt gói bên ngoài của một đường hầm mã hóa thường che giấu các số thứ tự TCP bên trong, vì vậy nó không thể chứng minh ngăn xếp bên trong đã làm gì. Chỉ bắt gói bên trong đường hầm ở nơi chính sách cho phép, và không bao giờ tắt chống phát lại để làm im lặng một cảnh báo không liên quan.

Điểm quan sát thay đổi câu trả lời ở đâu

Trước khi leo thang, hãy ghi lại cách bắt gói: giao diện, liệu tiến trình bắt gói có báo mất gói và liệu dấu thời gian có so sánh được giữa các cảm biến. Một điểm quan sát không thể thấy cả hai đầu của một đường đi, vì vậy mọi phát biểu về hành vi của người nhận là suy luận chứ không phải đo lường. Một dấu vết lấy trên cổng và một dấu vết lấy trên máy chủ sẽ không đồng ý về thứ tự dưới tải, và sự bất đồng đó thường thuộc về bản bắt gói chứ không phải đường hầm. Tương quan hai góc nhìn là điều biến một con số thành bằng chứng.

Dùng một luồng ứng dụng được phép và ghi lại bộ đếm của các điểm cuối bên cạnh các con số của bản bắt gói tại cùng thời điểm. Nếu các con số không khớp, hãy tin lớp sở hữu sự kiện và coi cái còn lại là hiện tượng quan sát cho đến khi được chứng minh ngược lại. Quy tắc đó giải quyết hầu hết các phiếu này mà không chạm vào cấu hình đường hầm.

Đọc các con số theo đúng thứ tự

Bắt đầu từ lớp nơi câu hỏi được đặt: cảnh báo TCP được trả lời từ bản bắt gói TCP, và loại bỏ ESP được trả lời từ bộ đếm hiệp hội bảo mật trên cổng. Chỉ sau đó mới hỏi liệu hai góc nhìn có mô tả cùng một gói. Một kết luận cần cả hai lớp nên nêu tên cả hai, vì một khẳng định về đường hầm chỉ dựa vào chú thích TCP là phỏng đoán.

Ghi lại lớp, bộ đếm và điểm quan sát cho từng phát hiện, và người đọc tiếp theo sẽ không hợp nhất ba sự kiện thành một lỗi tưởng tượng. Leo thang với ba trường đó và cách sửa thường đến từ trường đầu tiên.