Conntrack NEW lori paketi ACK: ohun ti ko fi han

Ninu akojo apeere ogiri ina, o wa ila kan ti o ko reti: paketi ACK kan, ipo conntrack NEW, adiresi orisun ti kii se tire, ebute ibi-afonja wa ni sisi. Idanwo ni lati ka a bi isopo titun ti n bo wole ti ẹnikan ko gba laaye. Ohun ti ila naa n so nikan ni o doro si: nigba ti paketi yẹn de hook yii, olutopo ko ni ipo ti o ba mu, paketi naa si gbe ACK. Awon meji ni o je otito nipa awon ohun meji ti o yato, ko si si eyikeyi ninu won ti o je akosile pipe ti ifowosi owo. Eyi ni ilana ti mo gba ki mo to de ipinnu.

Bere lati inu paketi, kii se lati inu idajo

Ya awon akiyesi soto ki o to tumo won. Awon asia TCP se apejuwe paketi yii, ipo olutopo se apejuwe ohun ti o mo ni hook yen, mimu tire si se apejuwe ferese ti o gba nikan.

Didapo awon meta naa ni ona ti ACK fi di “olupese gba ẹnikan laaye lati wole”.

Ohun ti NEW tumo si ni hook

ibamu conntrack ti iptables se akosile NEW gege bi paketi ti o bere isopo, tabi eyi ti o so mo isopo ti ko tii ri ọna ni awon ona meji. ESTABLISHED tumo si pe olutopo ti ri awon paketi ni awon ona meji. Ko si itumo kan ti o so pe paketi naa je SYN, tabi pe o de laisi itan.

Olutopo ti o bere lati wo ṣiṣan lati arin yoo pin paketi ti o tele gege bi ohun ti o mo, eyi si le je ohun kan. Iyẹn je oro nipa iranti olutopo, kii se nipa ipinnu oluwa ile ti o jinna.

Itopo ti o rọrun se alaye pupo ninu awon iyalẹnu ACK

Kọọkan ipilẹ se akosile nf_conntrack_tcp_loose, eyi ti o gba olutopo laaye lati gba awon isopo TCP ti ko ri ibẹrẹ wọn. Ti eto ba wa ni iye aiyipada, ACK lati arin ṣiṣan le je gbigba bi ṣiṣan ti a ti fi idi mulẹ. Pa a, paketi kanna yoo ni anfani si lati pin si INVALID dipo NEW. Awon esi mejeeji n se apejuwe awon ofin olutopo, kii se itan ti ohun elo.

Nitorina ṣayẹwo eto yẹn ki o to kọ imọran lori aami.

Yọ awon idi ti o su kuro ni ilana yii

Pupo ninu awon iṣẹlẹ NEW-lori-ACK ti mo lepa pari ni ọkan ninu awon wọnyi, gbogbo wọn si rọrun lati ṣayẹwo:

• A ti nu tabili conntrack, tabi a ti tun olutopo bẹrẹ.
• A ti tun oluwa ile bẹrẹ, tabi ṣiṣan ti lọ si namespace tabi ẹrọ miiran.
• Ilana ọna ti ko dọgba ti gbe SYN jade ni ipa ti o ko n mu.
• NAT tun tuple kọ, nitorina akosile ko ba ohun ti o ka mu mọ.
• Mimujade bere pẹ ati pe ko tii ri ibẹrẹ rara.

Ọkọọkan ninu awon wọnyi yọ awon paketi ti o ṣaaju kuro ni oju olutopo, o si fi awon ti o tẹle wa laini. Atunbere tabi nu tabili ni ohun ti o rọrun lati fi idi mulẹ lati uptime ati awon akosile. Ilana ọna ti ko dọgba farahan bi mimu ọna kan. NAT ni ẹni arekereke, nitori tuple ti olutopo fipamọ kii se tuple ti a tẹ sinu akosile.

Kọ ẹwo ni o yọ kuro, ati bi o ṣe ṣe, ki o to tẹsiwaju.

Ka tuple, interface ati hook

Akosile conntrack ni a fi adiresi, ibi-afonja ati ilana ṣii, nitorina itumọ eyikeyi yoo yi iyipada wo ni akosile ti o ba mu. Kọ interface ati hook pẹlu, nitori paketi ti a ri lori interface ti ko tọ tabi lẹhin chaeni miiran so fun ọ pe ọna ko dabi eyi ti o wa ninu aworan. Nigbati iṣẹlẹ ba kan VPN, pinnu boya o n wo paketi inu tabi ohun gbigbe ode. Lẹhinna fi wera pẹlu ohun ti ẹnu-ọna kọ silẹ fun tuple ẹya marun kanna.

Awon iwo meji ti ṣiṣan kan ti ko ba ara wọn mu ni o ni alaye diẹ sii ju ọkan ninu wọn lọ.

Nigbati o yẹ lati gbe igbese

Gbe igbese nigbati o ba le fi iṣẹ kan han ti o wa ni arọwọto ti ko si yẹ ki o wa, pẹlu ṣiṣan, ilana ti o gba a laaye ati ẹri lati awon ẹgbẹ mejeeji. Ma ṣe jabo aipe olupese lori ipilẹ aami ipo kan tabi mimu apa kan kan, nitori a o pa ijabọ yẹn pẹlu alaye ti o ṣẹṣẹ ka. Ti iṣẹ naa ba wa ni ṣiṣi nitootọ, oluwa ila yẹn ni ẹni ti o yẹ lati tun ṣe, ati pe maapu ibi-afonja ti a fi lelẹ tabi olugbo ti a ko pinnu jẹ idi ti o ṣeeṣe ju aṣiṣe lọ.

Lẹhinna pa aafo iran ti o jẹ ki paketi kan dabi ipade pipe.