| |
隨著客戶機(jī)和服務(wù)器之間安裝更多的代理防火墻，排除連接故障比以前更復(fù)雜了。然而，稍微了解一些傳輸控制協(xié)議(TCP)“握手”的過程有助于診斷包括代理防火墻在內(nèi)的連接問題。
首先，對(duì)于自從我們最后一次推出網(wǎng)絡(luò)課程之后長(zhǎng)出白發(fā)的我們當(dāng)中的一些人來說，讓我們復(fù)習(xí)一下TCP握手是如何工作的。TCP是一個(gè)面向連接的協(xié)議。在一對(duì)設(shè)備之間發(fā)生任何通訊之前，這些設(shè)備之間的雙向通道必須要打開。這是通過使用包含標(biāo)記的特殊數(shù)據(jù)包實(shí)現(xiàn)的。一個(gè)這種標(biāo)記是SYN(同步)標(biāo)記，用來指示一個(gè)連接請(qǐng)求，同時(shí)ACK標(biāo)記確認(rèn)一個(gè)連接已經(jīng)打開了。
完整的三次握手如下圖所示：
首先，客戶機(jī)向服務(wù)器發(fā)送一個(gè)SYN數(shù)據(jù)包。服務(wù)器收到這個(gè)數(shù)據(jù)包之后將編輯一個(gè)回答數(shù)據(jù)包。這個(gè)服務(wù)器打開ACK標(biāo)記確認(rèn)客戶機(jī)通訊的請(qǐng)求。然后，服務(wù)器打開SYN標(biāo)記請(qǐng)求相對(duì)方向的一個(gè)通訊頻道：從服務(wù)器到客戶機(jī)。當(dāng)客戶機(jī)收到這個(gè)SYN/ACK數(shù)據(jù)包之后，它必須回復(fù)一個(gè)ACK數(shù)據(jù)包確認(rèn)服務(wù)器-客戶機(jī)連接請(qǐng)求。在這個(gè)時(shí)候，客戶機(jī)和服務(wù)器也許就可以雙向通訊了。
然而，代理防火墻把自己注入到這些過程之間從而影響正常的TCP握手。見下圖：
客戶機(jī)連接到代理防火墻，以為他們已經(jīng)與服務(wù)器建立了連接。這個(gè)代理防火墻然后代表這個(gè)客戶機(jī)打開一個(gè)單獨(dú)的與服務(wù)器的連接。這種獨(dú)特的方法在客戶機(jī)與服務(wù)器之間提供了一個(gè)增加的隔離層，并且允許防火墻調(diào)節(jié)這個(gè)會(huì)話，也許檢查應(yīng)用層通訊中潛在的惡意內(nèi)容。
代理防火墻的存在使排除客戶機(jī)與服務(wù)器之間的連接故障更復(fù)雜了。為了診斷一個(gè)故障，需要對(duì)防火墻的兩邊都進(jìn)行監(jiān)視。我們需要一個(gè)查看防火墻外部通訊的外部監(jiān)視設(shè)備，還需要一個(gè)查看防火墻的每個(gè)內(nèi)部接口的內(nèi)部監(jiān)視設(shè)備。讓我們看幾個(gè)普通的連接問題以及它們?cè)趖cpdump輸出中是如何出現(xiàn)的。我們的所有例子都將使用上面解釋的連接情況。需要指出的是web服務(wù)器有兩個(gè)IP地址：192.168.3.150是服務(wù)器在有防火墻的局域網(wǎng)內(nèi)部的服務(wù)器專用地址。10.0.0.120是暴露給世界的公共地址。
第一種情況：服務(wù)器問題
服務(wù)器可能由于拒絕服務(wù)攻擊、設(shè)置錯(cuò)誤、成功的黑客攻擊或者其它原因出現(xiàn)連接問題。在這些情況下，因?yàn)榉阑饓ぷ髡�，防火墻外部將出現(xiàn)一個(gè)完整的三次握手。輸出的數(shù)據(jù)看起來就像下面那樣：
19:24:36.959777 IP 10.1.1.16.1450 > 10.0.0.120:80: S 735906036:735906036(0) win 16384
19:24:36.987938 IP 10.0.0.120:80 > 10.1.1.16.1450: S 3607622985:3607622985(0) ack 735906037 win 8190
19:24:36.987961 IP 10.1.1.16.1450 > 10.0.0.120:80: . ack 1 win 17640
注意：為了你的方便，SYN和ACK都用了黑體字。這是一個(gè)合適的三次握手。問題將出現(xiàn)在防火墻和Web服務(wù)器之間。如果服務(wù)器壞了或者沒有反應(yīng)，指示器信號(hào)將是從防火墻發(fā)到服務(wù)器的一系列SYN數(shù)據(jù)包，如下所示：
19:22:40.214672 IP 192.168.3.124.1439 > 10.0.0.120.80: S 4182454:4182454(0) win 16384
19:22:43.154580 IP 192.168.3.124.1439 > 10.0.0.120.80: S 4182454:4182454(0) win 16384
19:22:43.154580 IP 192.168.3.124.1439 > 10.0.0.120.80: S 4182454:4182454(0) win 16384
19:22:43.154580 IP 192.168.3.124.1439 > 10.0.0.120.80: S 4182454:4182454(0) win 16384
19:22:43.154580 IP 192.168.3.124.1439 > 10.0.0.120.80: S 4182454:4182454(0) win 16384
第二種情況：防火墻問題
根據(jù)具體問題，防火墻問題也許以不同方式顯示自己。如果防火墻完全壞了，從防火墻向服務(wù)器的公共地址將有一系列沒有應(yīng)答的SYN數(shù)據(jù)包。這些數(shù)據(jù)包將出現(xiàn)在外部監(jiān)視器上，在內(nèi)部監(jiān)視器上將不會(huì)顯示相關(guān)的通訊。
另一方面，如果防火墻的規(guī)則設(shè)置不正確，外部監(jiān)視器也許會(huì)顯示一種合適的三次握手。內(nèi)部監(jiān)視器也許不會(huì)顯示出任何通訊。
第三種情況：應(yīng)用程序問題
如果在內(nèi)部和外部監(jiān)視器上都顯示出了合適的三次握手，防火墻的問題一般可以排除。在這種情況下，最可能原因是應(yīng)用程序本身的問題。例如，攻擊者也許會(huì)攻破這個(gè)應(yīng)用程序和改變其行為，這個(gè)服務(wù)也許配置錯(cuò)了或者客戶機(jī)也許做出了一個(gè)非法的請(qǐng)求。 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
