ΠΠ΄ΡΠ°Π²Π΅ΠΉΡΠ΅ Π½Π° Π²ΡΠΈΡΠΊΠΈ, ΠΊΠ°Π·Π²Π°ΠΌ ΡΠ΅ Π‘Π°ΡΠ°, Π²ΠΎΠ΄Ρ Π±Π΅ΠΊΠ΅Π½Π΄ ΡΠ΅ΡΡΠ²Π°Π½Π΅ Π²ΡΠ² FunCorp. ΠΠΈΠ΅, ΠΊΠ°ΠΊΡΠΎ ΠΌΠ½ΠΎΠ³ΠΎ Π΄ΡΡΠ³ΠΈ, ΡΠΌΠ΅ Π²Π½Π΅Π΄ΡΠΈΠ»ΠΈ ΠΎΡΠΈΠ΅Π½ΡΠΈΡΠ°Π½Π° ΠΊΡΠΌ ΡΡΠ»ΡΠ³ΠΈ Π°ΡΡ ΠΈΡΠ΅ΠΊΡΡΡΠ°. ΠΡ Π΅Π΄Π½Π° ΡΡΡΠ°Π½Π°, ΡΠΎΠ²Π° ΡΠ»Π΅ΡΠ½ΡΠ²Π° ΡΠ°Π±ΠΎΡΠ°ΡΠ°, Π·Π°ΡΠΎΡΠΎ... ΠΠΎ-Π»Π΅ΡΠ½ΠΎ Π΅ Π΄Π° ΡΠ΅ ΡΠ΅ΡΡΠ²Π° Π²ΡΡΠΊΠ° ΡΡΠ»ΡΠ³Π° ΠΏΠΎΠΎΡΠ΄Π΅Π»Π½ΠΎ, Π½ΠΎ ΠΎΡ Π΄ΡΡΠ³Π° ΡΡΡΠ°Π½Π° ΠΈΠΌΠ° Π½ΡΠΆΠ΄Π° Π΄Π° ΡΠ΅ ΡΠ΅ΡΡΠ²Π° Π²Π·Π°ΠΈΠΌΠΎΠ΄Π΅ΠΉΡΡΠ²ΠΈΠ΅ΡΠΎ Π½Π° ΡΡΠ»ΡΠ³ΠΈΡΠ΅ Π΅Π΄Π½Π° Ρ Π΄ΡΡΠ³Π°, ΠΊΠΎΠ΅ΡΠΎ ΡΠ΅ΡΡΠΎ ΡΠ΅ ΡΠ»ΡΡΠ²Π° Π² ΠΌΡΠ΅ΠΆΠ°ΡΠ°.
Π ΡΠ°Π·ΠΈ ΡΡΠ°ΡΠΈΡ ΡΠ΅ Π³ΠΎΠ²ΠΎΡΡ Π·Π° Π΄Π²Π΅ ΠΏΠΎΠΌΠΎΡΠ½ΠΈ ΠΏΡΠΎΠ³ΡΠ°ΠΌΠΈ, ΠΊΠΎΠΈΡΠΎ ΠΌΠΎΠ³Π°Ρ Π΄Π° ΡΠ΅ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Ρ Π·Π° ΠΏΡΠΎΠ²Π΅ΡΠΊΠ° Π½Π° ΠΎΡΠ½ΠΎΠ²Π½ΠΈ ΡΡΠ΅Π½Π°ΡΠΈΠΈ, ΠΊΠΎΠΈΡΠΎ ΠΎΠΏΠΈΡΠ²Π°Ρ ΡΠ°Π±ΠΎΡΠ°ΡΠ° Π½Π° ΠΏΡΠΈΠ»ΠΎΠΆΠ΅Π½ΠΈΠ΅ ΠΏΡΠΈ Π½Π°Π»ΠΈΡΠΈΠ΅ Π½Π° ΠΌΡΠ΅ΠΆΠΎΠ²ΠΈ ΠΏΡΠΎΠ±Π»Π΅ΠΌΠΈ.
Π‘ΠΈΠΌΡΠ»ΠΈΡΠ°Π½Π΅ Π½Π° ΠΌΡΠ΅ΠΆΠΎΠ²ΠΈ ΠΏΡΠΎΠ±Π»Π΅ΠΌΠΈ
ΠΠ±ΠΈΠΊΠ½ΠΎΠ²Π΅Π½ΠΎ ΡΠΎΡΡΡΠ΅ΡΡΡ ΡΠ΅ ΡΠ΅ΡΡΠ²Π° Π½Π° ΡΠ΅ΡΡΠΎΠ²ΠΈ ΡΡΡΠ²ΡΡΠΈ Ρ Π΄ΠΎΠ±ΡΠ° ΠΈΠ½ΡΠ΅ΡΠ½Π΅Ρ Π²ΡΡΠ·ΠΊΠ°. Π ΡΡΡΠΎΠ²ΠΈ ΠΏΡΠΎΠΈΠ·Π²ΠΎΠ΄ΡΡΠ²Π΅Π½ΠΈ ΡΡΠ΅Π΄ΠΈ Π½Π΅ΡΠ°ΡΠ° ΠΌΠΎΠΆΠ΅ Π΄Π° Π½Π΅ ΡΠ° ΡΠΎΠ»ΠΊΠΎΠ²Π° Π³Π»Π°Π΄ΠΊΠΈ, ΡΠ°ΠΊΠ° ΡΠ΅ ΠΏΠΎΠ½ΡΠΊΠΎΠ³Π° ΡΡΡΠ±Π²Π° Π΄Π° ΡΠ΅ΡΡΠ²Π°ΡΠ΅ ΠΏΡΠΎΠ³ΡΠ°ΠΌΠΈ ΠΏΡΠΈ ΡΡΠ»ΠΎΠ²ΠΈΡ Π½Π° Π»ΠΎΡΠ° Π²ΡΡΠ·ΠΊΠ°. Π Linux ΠΏΠΎΠΌΠΎΡΠ½Π°ΡΠ° ΠΏΡΠΎΠ³ΡΠ°ΠΌΠ° ΡΠ΅ ΠΏΠΎΠΌΠΎΠ³Π½Π΅ ΡΡΡ Π·Π°Π΄Π°ΡΠ°ΡΠ° Π·Π° ΡΠΈΠΌΡΠ»ΠΈΡΠ°Π½Π΅ Π½Π° ΡΠ°ΠΊΠΈΠ²Π° ΡΡΠ»ΠΎΠ²ΠΈΡ tc.
tc(ΡΡΠΊΡ. ΠΎΡ ΠΡΡΠ΅Π½ ΠΊΠΎΠ½ΡΡΠΎΠ») Π²ΠΈ ΠΏΠΎΠ·Π²ΠΎΠ»ΡΠ²Π° Π΄Π° ΠΊΠΎΠ½ΡΠΈΠ³ΡΡΠΈΡΠ°ΡΠ΅ ΠΏΡΠ΅Π΄Π°Π²Π°Π½Π΅ΡΠΎ Π½Π° ΠΌΡΠ΅ΠΆΠΎΠ²ΠΈ ΠΏΠ°ΠΊΠ΅ΡΠΈ Π² ΡΠΈΡΡΠ΅ΠΌΠ°ΡΠ°. Π’Π°Π·ΠΈ ΠΏΠΎΠΌΠΎΡΠ½Π° ΠΏΡΠΎΠ³ΡΠ°ΠΌΠ° ΠΈΠΌΠ° Π³ΠΎΠ»Π΅ΠΌΠΈ Π²ΡΠ·ΠΌΠΎΠΆΠ½ΠΎΡΡΠΈ, ΠΌΠΎΠΆΠ΅ΡΠ΅ Π΄Π° ΠΏΡΠΎΡΠ΅ΡΠ΅ΡΠ΅ ΠΏΠΎΠ²Π΅ΡΠ΅ Π·Π° ΡΡΡ
ΠΠ΅ΠΊΠ° ΡΡΠ°ΡΡΠΈΡΠ°ΠΌΠ΅ Π΅Ρ
ΠΎ ΡΡΡΠ²ΡΡ Π½Π° ΡΡΡΠ²ΡΡΠ° (ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Ρ
ncat -l 127.0.0.1 12345 -k -c 'xargs -n1 -i echo "Response: {}"'
ΠΠ° Π΄Π° ΠΏΠΎΠΊΠ°ΠΆΠ° ΠΏΠΎΠ΄ΡΠΎΠ±Π½ΠΎ Π²ΡΠΈΡΠΊΠΈ Π²ΡΠ΅ΠΌΠ΅Π²ΠΈ ΠΎΡΠΏΠ΅ΡΠ°ΡΡΡΠΈ Π½Π° Π²ΡΡΠΊΠ° ΡΡΡΠΏΠΊΠ° ΠΎΡ Π²Π·Π°ΠΈΠΌΠΎΠ΄Π΅ΠΉΡΡΠ²ΠΈΠ΅ΡΠΎ ΠΌΠ΅ΠΆΠ΄Ρ ΠΊΠ»ΠΈΠ΅Π½ΡΠ° ΠΈ ΡΡΡΠ²ΡΡΠ°, Π½Π°ΠΏΠΈΡΠ°Ρ ΠΏΡΠΎΡΡ ΡΠΊΡΠΈΠΏΡ Π½Π° Python, ΠΊΠΎΠΉΡΠΎ ΠΈΠ·ΠΏΡΠ°ΡΠ° Π·Π°ΡΠ²ΠΊΠ° ΡΠ΅ΡΡ ΠΊΡΠΌ Π½Π°ΡΠΈΡ Π΅Ρ ΠΎ ΡΡΡΠ²ΡΡ.
ΠΠ·Ρ ΠΎΠ΄Π΅Π½ ΠΊΠΎΠ΄ Π½Π° ΠΊΠ»ΠΈΠ΅Π½ΡΠ°
#!/bin/python
import socket
import time
HOST = '127.0.0.1'
PORT = 12345
BUFFER_SIZE = 1024
MESSAGE = "Testn"
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
t1 = time.time()
print "[time before connection: %.5f]" % t1
s.connect((HOST, PORT))
print "[time after connection, before sending: %.5f]" % time.time()
s.send(MESSAGE)
print "[time after sending, before receiving: %.5f]" % time.time()
data = s.recv(BUFFER_SIZE)
print "[time after receiving, before closing: %.5f]" % time.time()
s.close()
t2 = time.time()
print "[time after closing: %.5f]" % t2
print "[total duration: %.5f]" % (t2 - t1)
print data
ΠΠ΅ΠΊΠ° Π³ΠΎ ΡΡΠ°ΡΡΠΈΡΠ°ΠΌΠ΅ ΠΈ Π΄Π° Π²ΠΈΠ΄ΠΈΠΌ ΡΡΠ°ΡΠΈΠΊΠ° Π½Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ° lo ΠΈ ΠΏΠΎΡΡ 12345:
[user@host ~]# python client.py
[time before connection: 1578652979.44837]
[time after connection, before sending: 1578652979.44889]
[time after sending, before receiving: 1578652979.44894]
[time after receiving, before closing: 1578652979.45922]
[time after closing: 1578652979.45928]
[total duration: 0.01091]
Response: Test
Π‘Π²Π°Π»ΠΊΠ° Π½Π° ΡΡΠ°ΡΠΈΠΊΠ°
[user@host ~]# tcpdump -i lo -nn port 12345
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
10:42:59.448601 IP 127.0.0.1.54054 > 127.0.0.1.12345: Flags [S], seq 3383332866, win 43690, options [mss 65495,sackOK,TS val 606325685 ecr 0,nop,wscale 7], length 0
10:42:59.448612 IP 127.0.0.1.12345 > 127.0.0.1.54054: Flags [S.], seq 2584700178, ack 3383332867, win 43690, options [mss 65495,sackOK,TS val 606325685 ecr 606325685,nop,wscale 7], length 0
10:42:59.448622 IP 127.0.0.1.54054 > 127.0.0.1.12345: Flags [.], ack 1, win 342, options [nop,nop,TS val 606325685 ecr 606325685], length 0
10:42:59.448923 IP 127.0.0.1.54054 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 606325685 ecr 606325685], length 5
10:42:59.448930 IP 127.0.0.1.12345 > 127.0.0.1.54054: Flags [.], ack 6, win 342, options [nop,nop,TS val 606325685 ecr 606325685], length 0
10:42:59.459118 IP 127.0.0.1.12345 > 127.0.0.1.54054: Flags [P.], seq 1:15, ack 6, win 342, options [nop,nop,TS val 606325696 ecr 606325685], length 14
10:42:59.459213 IP 127.0.0.1.54054 > 127.0.0.1.12345: Flags [.], ack 15, win 342, options [nop,nop,TS val 606325696 ecr 606325696], length 0
10:42:59.459268 IP 127.0.0.1.54054 > 127.0.0.1.12345: Flags [F.], seq 6, ack 15, win 342, options [nop,nop,TS val 606325696 ecr 606325696], length 0
10:42:59.460184 IP 127.0.0.1.12345 > 127.0.0.1.54054: Flags [F.], seq 15, ack 7, win 342, options [nop,nop,TS val 606325697 ecr 606325696], length 0
10:42:59.460196 IP 127.0.0.1.54054 > 127.0.0.1.12345: Flags [.], ack 16, win 342, options [nop,nop,TS val 606325697 ecr 606325697], length 0
ΠΡΠΈΡΠΊΠΎ Π΅ ΡΡΠ°Π½Π΄Π°ΡΡΠ½ΠΎ: ΡΡΠΈΡΡΡΠ°Π½Π½ΠΎ ΡΡΠΊΠΎΡΡΠΈΡΠΊΠ°Π½Π΅, PSH/ACK ΠΈ ACK Π² ΠΎΡΠ³ΠΎΠ²ΠΎΡ Π΄Π²Π° ΠΏΡΡΠΈ - ΡΠΎΠ²Π° Π΅ ΠΎΠ±ΠΌΠ΅Π½ΡΡ Π½Π° Π·Π°ΡΠ²ΠΊΠ° ΠΈ ΠΎΡΠ³ΠΎΠ²ΠΎΡ ΠΌΠ΅ΠΆΠ΄Ρ ΠΊΠ»ΠΈΠ΅Π½ΡΠ° ΠΈ ΡΡΡΠ²ΡΡΠ° ΠΈ FIN/ACK ΠΈ ACK Π΄Π²Π° ΠΏΡΡΠΈ - Π·Π°Π²ΡΡΡΠ²Π°Π½Π΅ Π½Π° Π²ΡΡΠ·ΠΊΠ°ΡΠ°.
ΠΠ°Π±Π°Π²ΡΠ½Π΅ Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠ°
Π‘Π΅Π³Π° Π½Π΅ΠΊΠ° Π·Π°Π΄Π°Π΄Π΅ΠΌ Π·Π°Π±Π°Π²ΡΠ½Π΅ΡΠΎ Π½Π° 500 ΠΌΠΈΠ»ΠΈΡΠ΅ΠΊΡΠ½Π΄ΠΈ:
tc qdisc add dev lo root netem delay 500ms
Π‘ΡΠ°ΡΡΠΈΡΠ°ΠΌΠ΅ ΠΊΠ»ΠΈΠ΅Π½ΡΠ° ΠΈ Π²ΠΈΠΆΠ΄Π°ΠΌΠ΅, ΡΠ΅ ΡΠΊΡΠΈΠΏΡΡΡ ΡΠ΅Π³Π° ΡΠ°Π±ΠΎΡΠΈ Π·Π° 2 ΡΠ΅ΠΊΡΠ½Π΄ΠΈ:
[user@host ~]# ./client.py
[time before connection: 1578662612.71044]
[time after connection, before sending: 1578662613.71059]
[time after sending, before receiving: 1578662613.71065]
[time after receiving, before closing: 1578662614.72011]
[time after closing: 1578662614.72019]
[total duration: 2.00974]
Response: Test
ΠΠ°ΠΊΠ²ΠΎ ΠΈΠΌΠ° Π² ΡΡΠ°ΡΠΈΠΊΠ°? ΠΠ΅ΠΊΠ° Π²ΠΈΠ΄ΠΈΠΌ:
Π‘Π²Π°Π»ΠΊΠ° Π½Π° ΡΡΠ°ΡΠΈΠΊΠ°
13:23:33.210520 IP 127.0.0.1.58694 > 127.0.0.1.12345: Flags [S], seq 1720950927, win 43690, options [mss 65495,sackOK,TS val 615958947 ecr 0,nop,wscale 7], length 0
13:23:33.710554 IP 127.0.0.1.12345 > 127.0.0.1.58694: Flags [S.], seq 1801168125, ack 1720950928, win 43690, options [mss 65495,sackOK,TS val 615959447 ecr 615958947,nop,wscale 7], length 0
13:23:34.210590 IP 127.0.0.1.58694 > 127.0.0.1.12345: Flags [.], ack 1, win 342, options [nop,nop,TS val 615959947 ecr 615959447], length 0
13:23:34.210657 IP 127.0.0.1.58694 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 615959947 ecr 615959447], length 5
13:23:34.710680 IP 127.0.0.1.12345 > 127.0.0.1.58694: Flags [.], ack 6, win 342, options [nop,nop,TS val 615960447 ecr 615959947], length 0
13:23:34.719371 IP 127.0.0.1.12345 > 127.0.0.1.58694: Flags [P.], seq 1:15, ack 6, win 342, options [nop,nop,TS val 615960456 ecr 615959947], length 14
13:23:35.220106 IP 127.0.0.1.58694 > 127.0.0.1.12345: Flags [.], ack 15, win 342, options [nop,nop,TS val 615960957 ecr 615960456], length 0
13:23:35.220188 IP 127.0.0.1.58694 > 127.0.0.1.12345: Flags [F.], seq 6, ack 15, win 342, options [nop,nop,TS val 615960957 ecr 615960456], length 0
13:23:35.720994 IP 127.0.0.1.12345 > 127.0.0.1.58694: Flags [F.], seq 15, ack 7, win 342, options [nop,nop,TS val 615961457 ecr 615960957], length 0
13:23:36.221025 IP 127.0.0.1.58694 > 127.0.0.1.12345: Flags [.], ack 16, win 342, options [nop,nop,TS val 615961957 ecr 615961457], length 0
ΠΠΎΠΆΠ΅ΡΠ΅ Π΄Π° Π²ΠΈΠ΄ΠΈΡΠ΅, ΡΠ΅ ΠΎΡΠ°ΠΊΠ²Π°Π½ΠΎΡΠΎ Π·Π°Π±Π°Π²ΡΠ½Π΅ ΠΎΡ ΠΏΠΎΠ»ΠΎΠ²ΠΈΠ½ ΡΠ΅ΠΊΡΠ½Π΄Π° ΡΠ΅ Π΅ ΠΏΠΎΡΠ²ΠΈΠ»ΠΎ ΠΏΡΠΈ Π²Π·Π°ΠΈΠΌΠΎΠ΄Π΅ΠΉΡΡΠ²ΠΈΠ΅ΡΠΎ ΠΌΠ΅ΠΆΠ΄Ρ ΠΊΠ»ΠΈΠ΅Π½ΡΠ° ΠΈ ΡΡΡΠ²ΡΡΠ°. Π‘ΠΈΡΡΠ΅ΠΌΠ°ΡΠ° ΡΠ΅ Π΄ΡΡΠΆΠΈ ΠΌΠ½ΠΎΠ³ΠΎ ΠΏΠΎ-ΠΈΠ½ΡΠ΅ΡΠ΅ΡΠ½ΠΎ, Π°ΠΊΠΎ Π·Π°Π±Π°Π²ΡΠ½Π΅ΡΠΎ Π΅ ΠΏΠΎ-Π³ΠΎΠ»ΡΠΌΠΎ: ΡΠ΄ΡΠΎΡΠΎ Π·Π°ΠΏΠΎΡΠ²Π° Π΄Π° ΠΈΠ·ΠΏΡΠ°ΡΠ° ΠΏΠΎΠ²ΡΠΎΡΠ½ΠΎ Π½ΡΠΊΠΎΠΈ TCP ΠΏΠ°ΠΊΠ΅ΡΠΈ. ΠΠ΅ΠΊΠ° ΠΏΡΠΎΠΌΠ΅Π½ΠΈΠΌ Π·Π°Π±Π°Π²ΡΠ½Π΅ΡΠΎ Π½Π° 1 ΡΠ΅ΠΊΡΠ½Π΄Π° ΠΈ ΠΏΠΎΠ³Π»Π΅Π΄Π½Π΅ΠΌ ΡΡΠ°ΡΠΈΠΊΠ° (Π½ΡΠΌΠ° Π΄Π° ΠΏΠΎΠΊΠ°Π·Π²Π°ΠΌ ΠΈΠ·Ρ ΠΎΠ΄Π° Π½Π° ΠΊΠ»ΠΈΠ΅Π½ΡΠ°, ΠΈΠΌΠ° ΠΎΡΠ°ΠΊΠ²Π°Π½ΠΈΡΠ΅ 4 ΡΠ΅ΠΊΡΠ½Π΄ΠΈ ΠΎΠ±ΡΠ° ΠΏΡΠΎΠ΄ΡΠ»ΠΆΠΈΡΠ΅Π»Π½ΠΎΡΡ):
tc qdisc change dev lo root netem delay 1s
Π‘Π²Π°Π»ΠΊΠ° Π½Π° ΡΡΠ°ΡΠΈΠΊΠ°
13:29:07.709981 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [S], seq 283338334, win 43690, options [mss 65495,sackOK,TS val 616292946 ecr 0,nop,wscale 7], length 0
13:29:08.710018 IP 127.0.0.1.12345 > 127.0.0.1.39306: Flags [S.], seq 3514208179, ack 283338335, win 43690, options [mss 65495,sackOK,TS val 616293946 ecr 616292946,nop,wscale 7], length 0
13:29:08.711094 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [S], seq 283338334, win 43690, options [mss 65495,sackOK,TS val 616293948 ecr 0,nop,wscale 7], length 0
13:29:09.710048 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [.], ack 1, win 342, options [nop,nop,TS val 616294946 ecr 616293946], length 0
13:29:09.710152 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 616294947 ecr 616293946], length 5
13:29:09.711120 IP 127.0.0.1.12345 > 127.0.0.1.39306: Flags [S.], seq 3514208179, ack 283338335, win 43690, options [mss 65495,sackOK,TS val 616294948 ecr 616292946,nop,wscale 7], length 0
13:29:10.710173 IP 127.0.0.1.12345 > 127.0.0.1.39306: Flags [.], ack 6, win 342, options [nop,nop,TS val 616295947 ecr 616294947], length 0
13:29:10.711140 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [.], ack 1, win 342, options [nop,nop,TS val 616295948 ecr 616293946], length 0
13:29:10.714782 IP 127.0.0.1.12345 > 127.0.0.1.39306: Flags [P.], seq 1:15, ack 6, win 342, options [nop,nop,TS val 616295951 ecr 616294947], length 14
13:29:11.714819 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [.], ack 15, win 342, options [nop,nop,TS val 616296951 ecr 616295951], length 0
13:29:11.714893 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [F.], seq 6, ack 15, win 342, options [nop,nop,TS val 616296951 ecr 616295951], length 0
13:29:12.715562 IP 127.0.0.1.12345 > 127.0.0.1.39306: Flags [F.], seq 15, ack 7, win 342, options [nop,nop,TS val 616297952 ecr 616296951], length 0
13:29:13.715596 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [.], ack 16, win 342, options [nop,nop,TS val 616298952 ecr 616297952], length 0
ΠΠΎΠΆΠ΅ Π΄Π° ΡΠ΅ Π²ΠΈΠ΄ΠΈ, ΡΠ΅ ΠΊΠ»ΠΈΠ΅Π½ΡΡΡ Π΅ ΠΈΠ·ΠΏΡΠ°ΡΠΈΠ» SYN ΠΏΠ°ΠΊΠ΅Ρ Π΄Π²Π° ΠΏΡΡΠΈ, Π° ΡΡΡΠ²ΡΡΡΡ Π΅ ΠΈΠ·ΠΏΡΠ°ΡΠΈΠ» SYN/ACK Π΄Π²Π° ΠΏΡΡΠΈ.
Π Π΄ΠΎΠΏΡΠ»Π½Π΅Π½ΠΈΠ΅ ΠΊΡΠΌ ΠΏΠΎΡΡΠΎΡΠ½Π½Π° ΡΡΠΎΠΉΠ½ΠΎΡΡ, Π·Π°Π±Π°Π²ΡΠ½Π΅ΡΠΎ ΠΌΠΎΠΆΠ΅ Π΄Π° Π±ΡΠ΄Π΅ Π·Π°Π΄Π°Π΄Π΅Π½ΠΎ Π½Π° ΠΎΡΠΊΠ»ΠΎΠ½Π΅Π½ΠΈΠ΅, ΡΡΠ½ΠΊΡΠΈΡ Π½Π° ΡΠ°Π·ΠΏΡΠ΅Π΄Π΅Π»Π΅Π½ΠΈΠ΅ ΠΈ ΠΊΠΎΡΠ΅Π»Π°ΡΠΈΡ (ΡΡΡ ΡΡΠΎΠΉΠ½ΠΎΡΡΡΠ° Π·Π° ΠΏΡΠ΅Π΄ΠΈΡΠ½ΠΈΡ ΠΏΠ°ΠΊΠ΅Ρ). Π’ΠΎΠ²Π° ΡΠ΅ ΠΏΡΠ°Π²ΠΈ ΠΏΠΎ ΡΠ»Π΅Π΄Π½ΠΈΡ Π½Π°ΡΠΈΠ½:
tc qdisc change dev lo root netem delay 500ms 400ms 50 distribution normal
Π’ΡΠΊ ΡΠΌΠ΅ Π·Π°Π΄Π°Π»ΠΈ Π·Π°Π±Π°Π²ΡΠ½Π΅ΡΠΎ ΠΌΠ΅ΠΆΠ΄Ρ 100 ΠΈ 900 ΠΌΠΈΠ»ΠΈΡΠ΅ΠΊΡΠ½Π΄ΠΈ, ΡΡΠΎΠΉΠ½ΠΎΡΡΠΈΡΠ΅ ΡΠ΅ Π±ΡΠ΄Π°Ρ ΠΈΠ·Π±ΡΠ°Π½ΠΈ ΡΠΏΠΎΡΠ΅Π΄ Π½ΠΎΡΠΌΠ°Π»Π½ΠΎ ΡΠ°Π·ΠΏΡΠ΅Π΄Π΅Π»Π΅Π½ΠΈΠ΅ ΠΈ ΡΠ΅ ΠΈΠΌΠ° 50% ΠΊΠΎΡΠ΅Π»Π°ΡΠΈΡ ΡΡΡ ΡΡΠΎΠΉΠ½ΠΎΡΡΡΠ° Π½Π° Π·Π°Π±Π°Π²ΡΠ½Π΅ Π·Π° ΠΏΡΠ΅Π΄ΠΈΡΠ½ΠΈΡ ΠΏΠ°ΠΊΠ΅Ρ.
ΠΠΎΠΆΠ΅ Π±ΠΈ ΡΡΠ΅ Π·Π°Π±Π΅Π»ΡΠ·Π°Π»ΠΈ, ΡΠ΅ Π² ΠΏΡΡΠ²Π°ΡΠ° ΠΊΠΎΠΌΠ°Π½Π΄Π°, ΠΊΠΎΡΡΠΎ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Ρ Π΄ΠΎΠ±Π°Π²Π΅ΡΠ΅, ΠΈ ΡΠΎΠ³Π°Π²Π° ΠΏΡΠΎΠΌΡΠ½Π°. ΠΠ½Π°ΡΠ΅Π½ΠΈΠ΅ΡΠΎ Π½Π° ΡΠ΅Π·ΠΈ ΠΊΠΎΠΌΠ°Π½Π΄ΠΈ Π΅ ΠΎΡΠ΅Π²ΠΈΠ΄Π½ΠΎ, ΡΠ°ΠΊΠ° ΡΠ΅ ΠΏΡΠΎΡΡΠΎ ΡΠ΅ Π΄ΠΎΠ±Π°Π²Ρ, ΡΠ΅ ΠΈΠΌΠ° ΠΎΡΠ΅ Π΄Π΅Π», ΠΊΠΎΠΉΡΠΎ ΠΌΠΎΠΆΠ΅ Π΄Π° ΡΠ΅ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π° Π·Π° ΠΏΡΠ΅ΠΌΠ°Ρ Π²Π°Π½Π΅ Π½Π° ΠΊΠΎΠ½ΡΠΈΠ³ΡΡΠ°ΡΠΈΡΡΠ°.
ΠΠ·Π³ΡΠ±Π΅Π½ ΠΏΠ°ΠΊΠ΅Ρ
ΠΠ΅ΠΊΠ° ΡΠ΅Π³Π° ΡΠ΅ ΠΎΠΏΠΈΡΠ°ΠΌΠ΅ Π΄Π° Π½Π°ΠΏΡΠ°Π²ΠΈΠΌ Π·Π°Π³ΡΠ±Π° Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠΈ. ΠΠ°ΠΊΡΠΎ ΠΌΠΎΠΆΠ΅ Π΄Π° ΡΠ΅ Π²ΠΈΠ΄ΠΈ ΠΎΡ Π΄ΠΎΠΊΡΠΌΠ΅Π½ΡΠ°ΡΠΈΡΡΠ°, ΡΠΎΠ²Π° ΠΌΠΎΠΆΠ΅ Π΄Π° ΡΡΠ°Π½Π΅ ΠΏΠΎ ΡΡΠΈ Π½Π°ΡΠΈΠ½Π°: ΠΏΡΠΎΠΈΠ·Π²ΠΎΠ»Π½Π° Π·Π°Π³ΡΠ±Π° Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠΈ Ρ ΠΈΠ·Π²Π΅ΡΡΠ½Π° Π²Π΅ΡΠΎΡΡΠ½ΠΎΡΡ, ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½Π΅ Π½Π° Π²Π΅ΡΠΈΠ³Π° Π½Π° ΠΠ°ΡΠΊΠΎΠ² ΠΎΡ 2, 3 ΠΈΠ»ΠΈ 4 ΡΡΡΡΠΎΡΠ½ΠΈΡ Π·Π° ΠΈΠ·ΡΠΈΡΠ»ΡΠ²Π°Π½Π΅ Π½Π° Π·Π°Π³ΡΠ±Π°ΡΠ° Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠΈ ΠΈΠ»ΠΈ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½Π΅ Π½Π° ΠΌΠΎΠ΄Π΅Π»Π° Π½Π° ΠΠ»ΠΈΡΡ-ΠΠΈΠ»Π±ΡΡΡ. Π ΡΡΠ°ΡΠΈΡΡΠ° ΡΠ΅ ΡΠ°Π·Π³Π»Π΅Π΄Π°ΠΌ ΠΏΡΡΠ²ΠΈΡ (Π½Π°ΠΉ-ΠΏΡΠΎΡΡΠΈΡΡ ΠΈ ΠΎΡΠ΅Π²ΠΈΠ΄Π΅Π½) ΠΌΠ΅ΡΠΎΠ΄ ΠΈ ΠΌΠΎΠΆΠ΅ΡΠ΅ Π΄Π° ΠΏΡΠΎΡΠ΅ΡΠ΅ΡΠ΅ Π·Π° Π΄ΡΡΠ³ΠΈ
ΠΠ΅ΠΊΠ° Π½Π°ΠΏΡΠ°Π²ΠΈΠΌ Π·Π°Π³ΡΠ±Π°ΡΠ° Π½Π° 50% ΠΎΡ ΠΏΠ°ΠΊΠ΅ΡΠΈΡΠ΅ Ρ ΠΊΠΎΡΠ΅Π»Π°ΡΠΈΡ ΠΎΡ 25%:
tc qdisc add dev lo root netem loss 50% 25%
ΠΠ° ΡΡΠΆΠ°Π»Π΅Π½ΠΈΠ΅, tcpdump Π½ΡΠΌΠ° Π΄Π° ΠΌΠΎΠΆΠ΅ ΡΡΠ½ΠΎ Π΄Π° Π½ΠΈ ΠΏΠΎΠΊΠ°ΠΆΠ΅ Π·Π°Π³ΡΠ±Π°ΡΠ° Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠΈ, ΡΠ°ΠΌΠΎ ΡΠ΅ ΠΏΡΠΈΠ΅ΠΌΠ΅ΠΌ, ΡΠ΅ Π½Π°ΠΈΡΡΠΈΠ½Π° ΡΠ°Π±ΠΎΡΠΈ. Π ΡΠ²Π΅Π»ΠΈΡΠ΅Π½ΠΎΡΠΎ ΠΈ Π½Π΅ΡΡΠ°Π±ΠΈΠ»Π½ΠΎ Π²ΡΠ΅ΠΌΠ΅ Π½Π° ΠΈΠ·ΠΏΡΠ»Π½Π΅Π½ΠΈΠ΅ Π½Π° ΡΠΊΡΠΈΠΏΡΠ° ΡΠ΅ Π½ΠΈ ΠΏΠΎΠΌΠΎΠ³Π½Π΅ Π΄Π° ΠΏΡΠΎΠ²Π΅ΡΠΈΠΌ ΡΠΎΠ²Π°. client.py (ΠΌΠΎΠΆΠ΅ Π΄Π° Π±ΡΠ΄Π΅ Π·Π°Π²ΡΡΡΠ΅Π½ Π½Π΅Π·Π°Π±Π°Π²Π½ΠΎ ΠΈΠ»ΠΈ ΠΌΠΎΠΆΠ΅ Π±ΠΈ Π·Π° 20 ΡΠ΅ΠΊΡΠ½Π΄ΠΈ), ΠΊΠ°ΠΊΡΠΎ ΠΈ ΡΠ²Π΅Π»ΠΈΡΠ΅Π½ Π±ΡΠΎΠΉ ΠΏΡΠ΅ΠΏΡΠ΅Π΄Π°Π΄Π΅Π½ΠΈ ΠΏΠ°ΠΊΠ΅ΡΠΈ:
[user@host ~]# netstat -s | grep retransmited; sleep 10; netstat -s | grep retransmited
17147 segments retransmited
17185 segments retransmited
ΠΠΎΠ±Π°Π²ΡΠ½Π΅ Π½Π° ΡΡΠΌ ΠΊΡΠΌ ΠΏΠ°ΠΊΠ΅ΡΠΈΡΠ΅
Π Π΄ΠΎΠΏΡΠ»Π½Π΅Π½ΠΈΠ΅ ΠΊΡΠΌ Π·Π°Π³ΡΠ±Π°ΡΠ° Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠΈ, ΠΌΠΎΠΆΠ΅ΡΠ΅ Π΄Π° ΡΠΈΠΌΡΠ»ΠΈΡΠ°ΡΠ΅ ΠΏΠΎΠ²ΡΠ΅Π΄Π° Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠ°: ΡΡΠΌΡΡ ΡΠ΅ ΡΠ΅ ΠΏΠΎΡΠ²ΠΈ Π½Π° ΠΏΡΠΎΠΈΠ·Π²ΠΎΠ»Π½Π° ΠΏΠΎΠ·ΠΈΡΠΈΡ Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠ°. ΠΠ΅ΠΊΠ° Π½Π°ΠΏΡΠ°Π²ΠΈΠΌ ΠΏΠΎΠ²ΡΠ΅Π΄Π° Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠ° Ρ 50% Π²Π΅ΡΠΎΡΡΠ½ΠΎΡΡ ΠΈ Π±Π΅Π· ΠΊΠΎΡΠ΅Π»Π°ΡΠΈΡ:
tc qdisc change dev lo root netem corrupt 50%
ΠΠ·ΠΏΡΠ»Π½ΡΠ²Π°ΠΌΠ΅ ΠΊΠ»ΠΈΠ΅Π½ΡΡΠΊΠΈΡ ΡΠΊΡΠΈΠΏΡ (Π½ΠΈΡΠΎ ΠΈΠ½ΡΠ΅ΡΠ΅ΡΠ½ΠΎ ΡΠ°ΠΌ, Π½ΠΎ ΠΎΡΠ½Π΅ 2 ΡΠ΅ΠΊΡΠ½Π΄ΠΈ Π·Π° Π·Π°Π²ΡΡΡΠ²Π°Π½Π΅), Π²ΠΈΠΆΡΠ΅ ΡΡΠ°ΡΠΈΠΊΠ°:
Π‘Π²Π°Π»ΠΊΠ° Π½Π° ΡΡΠ°ΡΠΈΠΊΠ°
[user@host ~]# tcpdump -i lo -nn port 12345
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
10:20:54.812434 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [S], seq 2023663770, win 43690, options [mss 65495,sackOK,TS val 1037001049 ecr 0,nop,wscale 7], length 0
10:20:54.812449 IP 127.0.0.1.12345 > 127.0.0.1.43666: Flags [S.], seq 2104268044, ack 2023663771, win 43690, options [mss 65495,sackOK,TS val 1037001049 ecr 1037001049,nop,wscale 7], length 0
10:20:54.812458 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [.], ack 1, win 342, options [nop,nop,TS val 1037001049 ecr 1037001049], length 0
10:20:54.812509 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 1037001049 ecr 1037001049], length 5
10:20:55.013093 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 1037001250 ecr 1037001049], length 5
10:20:55.013122 IP 127.0.0.1.12345 > 127.0.0.1.43666: Flags [.], ack 6, win 342, options [nop,nop,TS val 1037001250 ecr 1037001250], length 0
10:20:55.014681 IP 127.0.0.1.12345 > 127.0.0.1.43666: Flags [P.], seq 1:15, ack 6, win 342, options [nop,nop,TS val 1037001251 ecr 1037001250], length 14
10:20:55.014745 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [.], ack 15, win 340, options [nop,nop,TS val 1037001251 ecr 1037001251], length 0
10:20:55.014823 IP 127.0.0.1.43666 > 127.0.0.5.12345: Flags [F.], seq 2023663776, ack 2104268059, win 342, options [nop,nop,TS val 1037001251 ecr 1037001251], length 0
10:20:55.214088 IP 127.0.0.1.12345 > 127.0.0.1.43666: Flags [P.], seq 1:15, ack 6, win 342, options [nop,unknown-65 0x0a3dcf62eb3d,[bad opt]>
10:20:55.416087 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [F.], seq 6, ack 15, win 342, options [nop,nop,TS val 1037001653 ecr 1037001251], length 0
10:20:55.416804 IP 127.0.0.1.12345 > 127.0.0.1.43666: Flags [F.], seq 15, ack 7, win 342, options [nop,nop,TS val 1037001653 ecr 1037001653], length 0
10:20:55.416818 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [.], ack 16, win 343, options [nop,nop,TS val 1037001653 ecr 1037001653], length 0
10:20:56.147086 IP 127.0.0.1.12345 > 127.0.0.1.43666: Flags [F.], seq 15, ack 7, win 342, options [nop,nop,TS val 1037002384 ecr 1037001653], length 0
10:20:56.147101 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [.], ack 16, win 342, options [nop,nop,TS val 1037002384 ecr 1037001653], length 0
ΠΠΎΠΆΠ΅ Π΄Π° ΡΠ΅ Π²ΠΈΠ΄ΠΈ, ΡΠ΅ Π½ΡΠΊΠΎΠΈ ΠΏΠ°ΠΊΠ΅ΡΠΈ ΡΠ° ΠΈΠ·ΠΏΡΠ°ΡΠ΅Π½ΠΈ ΠΌΠ½ΠΎΠ³ΠΎΠΊΡΠ°ΡΠ½ΠΎ ΠΈ ΠΈΠΌΠ° Π΅Π΄ΠΈΠ½ ΠΏΠ°ΠΊΠ΅Ρ Ρ ΠΏΠΎΠ²ΡΠ΅Π΄Π΅Π½ΠΈ ΠΌΠ΅ΡΠ°Π΄Π°Π½Π½ΠΈ: ΠΎΠΏΡΠΈΠΈ [nop,unknown-65 0x0a3dcf62eb3d,[Π»ΠΎΡ ΠΈΠ·Π±ΠΎΡ]>. ΠΠΎ ΠΎΡΠ½ΠΎΠ²Π½ΠΎΡΠΎ Π΅, ΡΠ΅ Π² ΠΊΡΠ°ΠΉΠ½Π° ΡΠΌΠ΅ΡΠΊΠ° Π²ΡΠΈΡΠΊΠΎ ΡΠ°Π±ΠΎΡΠΈ ΠΏΡΠ°Π²ΠΈΠ»Π½ΠΎ - TCP ΡΠ΅ ΡΠΏΡΠ°Π²ΠΈ ΡΡΡ Π·Π°Π΄Π°ΡΠ°ΡΠ° ΡΠΈ.
ΠΡΠ±Π»ΠΈΡΠ°Π½Π΅ Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠΈ
ΠΠ°ΠΊΠ²ΠΎ Π΄ΡΡΠ³ΠΎ ΠΌΠΎΠΆΠ΅ΡΠ΅ Π΄Π° Π½Π°ΠΏΡΠ°Π²ΠΈΡΠ΅ Ρ netem? ΠΠ°ΠΏΡΠΈΠΌΠ΅Ρ, ΡΠΈΠΌΡΠ»ΠΈΡΠ°ΠΉΡΠ΅ ΠΎΠ±ΡΠ°ΡΠ½Π°ΡΠ° ΡΠΈΡΡΠ°ΡΠΈΡ Π½Π° Π·Π°Π³ΡΠ±Π° Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠΈ - Π΄ΡΠ±Π»ΠΈΡΠ°Π½Π΅ Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠΈ. Π’Π°Π·ΠΈ ΠΊΠΎΠΌΠ°Π½Π΄Π° ΡΡΡΠΎ ΠΏΡΠΈΠ΅ΠΌΠ° 2 Π°ΡΠ³ΡΠΌΠ΅Π½ΡΠ°: Π²Π΅ΡΠΎΡΡΠ½ΠΎΡΡ ΠΈ ΠΊΠΎΡΠ΅Π»Π°ΡΠΈΡ.
tc qdisc change dev lo root netem duplicate 50% 25%
ΠΡΠΎΠΌΡΠ½Π° Π½Π° ΡΠ΅Π΄Π° Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠΈΡΠ΅
ΠΠΎΠΆΠ΅ΡΠ΅ Π΄Π° ΡΠΌΠ΅ΡΠΈΡΠ΅ ΡΠΎΡΠ±ΠΈΡΠ΅ ΠΏΠΎ Π΄Π²Π° Π½Π°ΡΠΈΠ½Π°.
ΠΡΠΈ ΠΏΡΡΠ²ΠΈΡ Π½ΡΠΊΠΎΠΈ ΠΏΠ°ΠΊΠ΅ΡΠΈ ΡΠ΅ ΠΈΠ·ΠΏΡΠ°ΡΠ°Ρ Π½Π΅Π·Π°Π±Π°Π²Π½ΠΎ, Π° ΠΎΡΡΠ°Π½Π°Π»ΠΈΡΠ΅ Ρ ΠΎΠΏΡΠ΅Π΄Π΅Π»Π΅Π½ΠΎ Π·Π°ΠΊΡΡΠ½Π΅Π½ΠΈΠ΅. ΠΡΠΈΠΌΠ΅Ρ ΠΎΡ Π΄ΠΎΠΊΡΠΌΠ΅Π½ΡΠ°ΡΠΈΡΡΠ°:
tc qdisc change dev lo root netem delay 10ms reorder 25% 50%
Π‘ Π²Π΅ΡΠΎΡΡΠ½ΠΎΡΡ ΠΎΡ 25% (ΠΈ ΠΊΠΎΡΠ΅Π»Π°ΡΠΈΡ ΠΎΡ 50%) ΠΏΠ°ΠΊΠ΅ΡΡΡ ΡΠ΅ Π±ΡΠ΄Π΅ ΠΈΠ·ΠΏΡΠ°ΡΠ΅Π½ Π½Π΅Π·Π°Π±Π°Π²Π½ΠΎ, ΠΎΡΡΠ°Π½Π°Π»ΠΈΡΠ΅ ΡΠ΅ Π±ΡΠ΄Π°Ρ ΠΈΠ·ΠΏΡΠ°ΡΠ΅Π½ΠΈ ΡΡΡ Π·Π°ΠΊΡΡΠ½Π΅Π½ΠΈΠ΅ ΠΎΡ 10 ΠΌΠΈΠ»ΠΈΡΠ΅ΠΊΡΠ½Π΄ΠΈ.
ΠΡΠΎΡΠΈΡΡ ΠΌΠ΅ΡΠΎΠ΄ Π΅, ΠΊΠΎΠ³Π°ΡΠΎ Π²ΡΠ΅ΠΊΠΈ N-ΡΠΈ ΠΏΠ°ΠΊΠ΅Ρ ΡΠ΅ ΠΈΠ·ΠΏΡΠ°ΡΠ° ΠΌΠΎΠΌΠ΅Π½ΡΠ°Π»Π½ΠΎ Ρ Π΄Π°Π΄Π΅Π½Π° Π²Π΅ΡΠΎΡΡΠ½ΠΎΡΡ (ΠΈ ΠΊΠΎΡΠ΅Π»Π°ΡΠΈΡ), Π° ΠΎΡΡΠ°Π½Π°Π»ΠΈΡΠ΅ Ρ Π΄Π°Π΄Π΅Π½ΠΎ Π·Π°ΠΊΡΡΠ½Π΅Π½ΠΈΠ΅. ΠΡΠΈΠΌΠ΅Ρ ΠΎΡ Π΄ΠΎΠΊΡΠΌΠ΅Π½ΡΠ°ΡΠΈΡΡΠ°:
tc qdisc change dev lo root netem delay 10ms reorder 25% 50% gap 5
ΠΡΠ΅ΠΊΠΈ ΠΏΠ΅ΡΠΈ ΠΏΠ°ΠΊΠ΅Ρ ΠΈΠΌΠ° 25% ΡΠ°Π½Ρ Π΄Π° Π±ΡΠ΄Π΅ ΠΈΠ·ΠΏΡΠ°ΡΠ΅Π½ Π±Π΅Π· Π·Π°Π±Π°Π²ΡΠ½Π΅.
ΠΡΠΎΠΌΡΠ½Π° Π½Π° ΡΠ΅ΡΡΠΎΡΠ½Π°ΡΠ° Π»Π΅Π½ΡΠ°
ΠΠ±ΠΈΠΊΠ½ΠΎΠ²Π΅Π½ΠΎ Π½Π°Π²ΡΡΠΊΡΠ΄Π΅, ΠΊΡΠ΄Π΅ΡΠΎ ΡΠ΅ ΠΎΡΠ½Π°ΡΡΡ
tc qdisc change dev lo root netem rate 56kbit
Π’ΠΎΠ·ΠΈ Π΅ΠΊΠΈΠΏ ΡΠ΅ ΠΏΡΠ°Π²ΠΈ ΠΏΡΠ΅Ρ
ΠΎΠ΄ΠΈ Π½Π°ΠΎΠΊΠΎΠ»ΠΎ Localhost ΡΠΎΠ»ΠΊΠΎΠ²Π° Π±ΠΎΠ»Π΅Π·Π½Π΅Π½ΠΎ, ΠΊΠΎΠ»ΠΊΠΎΡΠΎ ΡΡΡΡΠΈΡΠ°Π½Π΅ΡΠΎ Π² ΠΈΠ½ΡΠ΅ΡΠ½Π΅Ρ ΡΡΠ΅Π· ΠΊΠΎΠΌΡΡΠΈΡΡΠ΅ΠΌ ΠΌΠΎΠ΄Π΅ΠΌ. Π Π΄ΠΎΠΏΡΠ»Π½Π΅Π½ΠΈΠ΅ ΠΊΡΠΌ Π½Π°ΡΡΡΠΎΠΉΠΊΠ°ΡΠ° Π½Π° Π±ΠΈΡΡΠ΅ΠΉΡΠ°, ΠΌΠΎΠΆΠ΅ΡΠ΅ ΡΡΡΠΎ Π΄Π° Π΅ΠΌΡΠ»ΠΈΡΠ°ΡΠ΅ ΠΌΠΎΠ΄Π΅Π»Π° Π½Π° ΠΏΡΠΎΡΠΎΠΊΠΎΠ»Π° Π½Π° ΡΠ»ΠΎΡ Π·Π° Π²ΡΡΠ·ΠΊΠ°: Π΄Π° Π·Π°Π΄Π°Π΄Π΅ΡΠ΅ ΡΠ΅ΠΆΠΈΠΉΠ½Π°ΡΠ° ΡΡΠΎΠΉΠ½ΠΎΡΡ Π·Π° ΠΏΠ°ΠΊΠ΅ΡΠ°, ΡΠ°Π·ΠΌΠ΅ΡΠ° Π½Π° ΠΊΠ»Π΅ΡΠΊΠ°ΡΠ° ΠΈ ΡΠ΅ΠΆΠΈΠΉΠ½Π°ΡΠ° ΡΡΠΎΠΉΠ½ΠΎΡΡ Π·Π° ΠΊΠ»Π΅ΡΠΊΠ°ΡΠ°. ΠΠ°ΠΏΡΠΈΠΌΠ΅Ρ, ΡΠΎΠ²Π° ΠΌΠΎΠΆΠ΅ Π΄Π° ΡΠ΅ ΡΠΈΠΌΡΠ»ΠΈΡΠ°
tc qdisc change dev lo root netem rate 56kbit 0 48 5
Π‘ΠΈΠΌΡΠ»ΠΈΡΠ°Π½Π΅ Π½Π° ΠΈΠ·ΡΠ°ΠΊΠ²Π°Π½Π΅ Π½Π° Π²ΡΡΠ·ΠΊΠ°ΡΠ°
ΠΡΡΠ³ Π²Π°ΠΆΠ΅Π½ ΠΌΠΎΠΌΠ΅Π½Ρ Π² ΡΠ΅ΡΡΠΎΠ²ΠΈΡ ΠΏΠ»Π°Π½ ΠΏΡΠΈ ΠΏΡΠΈΠ΅ΠΌΠ°Π½Π΅ Π½Π° ΡΠΎΡΡΡΠ΅Ρ ΡΠ° ΠΈΠ·ΡΠ°ΠΊΠ²Π°Π½ΠΈΡΡΠ°. Π’ΠΎΠ²Π° Π΅ Π²Π°ΠΆΠ½ΠΎ, Π·Π°ΡΠΎΡΠΎ Π² ΡΠ°Π·ΠΏΡΠ΅Π΄Π΅Π»Π΅Π½ΠΈΡΠ΅ ΡΠΈΡΡΠ΅ΠΌΠΈ, ΠΊΠΎΠ³Π°ΡΠΎ Π΅Π΄Π½Π° ΠΎΡ ΡΡΠ»ΡΠ³ΠΈΡΠ΅ Π΅ Π΄Π΅Π°ΠΊΡΠΈΠ²ΠΈΡΠ°Π½Π°, ΠΎΡΡΠ°Π½Π°Π»ΠΈΡΠ΅ ΡΡΡΠ±Π²Π° Π΄Π° ΡΠ΅ Π²ΡΡΠ½Π°Ρ ΠΊΡΠΌ Π΄ΡΡΠ³ΠΈΡΠ΅ Π½Π°Π²ΡΠ΅ΠΌΠ΅ ΠΈΠ»ΠΈ Π΄Π° Π²ΡΡΠ½Π°Ρ Π³ΡΠ΅ΡΠΊΠ° Π½Π° ΠΊΠ»ΠΈΠ΅Π½ΡΠ° ΠΈ Π² Π½ΠΈΠΊΠ°ΠΊΡΠ² ΡΠ»ΡΡΠ°ΠΉ Π½Π΅ ΡΡΡΠ±Π²Π° ΠΏΡΠΎΡΡΠΎ Π΄Π° Π²ΠΈΡΡΡ, ΡΠ°ΠΊΠ°ΠΉΠΊΠΈ ΠΎΡΠ³ΠΎΠ²ΠΎΡ ΠΈΠ»ΠΈ Π²ΡΡΠ·ΠΊΠ° Π΄Π° ΡΠ΅ ΡΡΡΠ°Π½ΠΎΠ²ΠΈ.
ΠΠΌΠ° Π½ΡΠΊΠΎΠ»ΠΊΠΎ Π½Π°ΡΠΈΠ½Π° Π΄Π° Π½Π°ΠΏΡΠ°Π²ΠΈΡΠ΅ ΡΠΎΠ²Π°: Π½Π°ΠΏΡΠΈΠΌΠ΅Ρ, ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΠΉΡΠ΅ ΠΌΠ°ΠΊΠ΅Ρ, ΠΊΠΎΠΉΡΠΎ Π½Π΅ ΠΎΡΠ³ΠΎΠ²Π°ΡΡ, ΠΈΠ»ΠΈ ΡΠ΅ ΡΠ²ΡΡΠΆΠ΅ΡΠ΅ Ρ ΠΏΡΠΎΡΠ΅ΡΠ° Ρ ΠΏΠΎΠΌΠΎΡΡΠ° Π½Π° Π΄Π΅Π±ΡΠ³Π΅Ρ, ΠΏΠΎΡΡΠ°Π²Π΅ΡΠ΅ ΡΠΎΡΠΊΠ° Π½Π° ΠΏΡΠ΅ΠΊΡΡΠ²Π°Π½Π΅ Π½Π° ΠΏΡΠ°Π²ΠΈΠ»Π½ΠΎΡΠΎ ΠΌΡΡΡΠΎ ΠΈ ΡΠΏΡΠ΅ΡΠ΅ ΠΏΡΠΎΡΠ΅ΡΠ° (ΡΠΎΠ²Π° Π΅ ΠΌΠΎΠΆΠ΅ Π±ΠΈ Π½Π°ΠΉ-ΠΏΠ΅ΡΠ²Π΅ΡΠ·Π½ΠΈΡΡ Π½Π°ΡΠΈΠ½). ΠΠΎ Π΅Π΄ΠΈΠ½ ΠΎΡ Π½Π°ΠΉ-ΠΎΡΠ΅Π²ΠΈΠ΄Π½ΠΈΡΠ΅ Π΅ ΠΏΠΎΡΡΠΎΠ²Π΅ΡΠ΅ ΠΈΠ»ΠΈ Ρ
ΠΎΡΡΠΎΠ²Π΅ΡΠ΅ Π½Π° Π·Π°ΡΠΈΡΠ½Π°ΡΠ° ΡΡΠ΅Π½Π°. Π©Π΅ Π½ΠΈ ΠΏΠΎΠΌΠΎΠ³Π½Π΅ Ρ ΡΠΎΠ²Π°
ΠΠ° Π΄Π΅ΠΌΠΎΠ½ΡΡΡΠ°ΡΠΈΡ ΡΠ΅ ΠΏΠΎΡΡΠ°Π²ΠΈΠΌ Π·Π°ΡΠΈΡΠ½Π° ΡΡΠ΅Π½Π° Π½Π° ΠΏΠΎΡΡ 12345 ΠΈ ΡΠ΅ ΠΈΠ·ΠΏΡΠ»Π½ΠΈΠΌ Π½Π°ΡΠΈΡ ΠΊΠ»ΠΈΠ΅Π½ΡΡΠΊΠΈ ΡΠΊΡΠΈΠΏΡ. ΠΠΎΠΆΠ΅ΡΠ΅ Π΄Π° Π·Π°ΡΠΈΡΠΈΡΠ΅ ΠΈΠ·Ρ ΠΎΠ΄ΡΡΠΈΡΠ΅ ΠΏΠ°ΠΊΠ΅ΡΠΈ ΠΊΡΠΌ ΡΠΎΠ·ΠΈ ΠΏΠΎΡΡ ΠΏΡΠΈ ΠΏΠΎΠ΄Π°ΡΠ΅Π»Ρ ΠΈΠ»ΠΈ Π²Ρ ΠΎΠ΄ΡΡΠΈΡΠ΅ ΠΏΠ°ΠΊΠ΅ΡΠΈ ΠΏΡΠΈ ΠΏΠΎΠ»ΡΡΠ°ΡΠ΅Π»Ρ. Π ΠΌΠΎΠΈΡΠ΅ ΠΏΡΠΈΠΌΠ΅ΡΠΈ Π²Ρ ΠΎΠ΄ΡΡΠΈΡΠ΅ ΠΏΠ°ΠΊΠ΅ΡΠΈ ΡΠ΅ Π±ΡΠ΄Π°Ρ Π·Π°ΡΠΈΡΠ΅Π½ΠΈ ΡΡΡ Π·Π°ΡΠΈΡΠ½Π° ΡΡΠ΅Π½Π° (ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΠΌΠ΅ Π²Π΅ΡΠΈΠ³Π° INPUT ΠΈ ΠΎΠΏΡΠΈΡΡΠ° --dport). Π’Π°ΠΊΠΈΠ²Π° ΠΏΠ°ΠΊΠ΅ΡΠΈ ΠΌΠΎΠ³Π°Ρ Π΄Π° Π±ΡΠ΄Π°Ρ DROP, REJECT ΠΈΠ»ΠΈ REJECT Ρ TCP ΡΠ»Π°Π³ RST ΠΈΠ»ΠΈ Ρ ICMP Ρ ΠΎΡΡ Π½Π΅Π΄ΠΎΡΡΡΠΏΠ΅Π½ (Π²ΡΡΡΠ½ΠΎΡΡ ΠΏΠΎΠ²Π΅Π΄Π΅Π½ΠΈΠ΅ΡΠΎ ΠΏΠΎ ΠΏΠΎΠ΄ΡΠ°Π·Π±ΠΈΡΠ°Π½Π΅ Π΅ icmp-ΠΏΠΎΡΡ-Π½Π΅Π΄ΠΎΡΡΡΠΏΠ΅Π½, ΠΊΠ°ΡΠΎ ΠΈΠΌΠ° ΠΈ Π²ΡΠ·ΠΌΠΎΠΆΠ½ΠΎΡΡ Π·Π° ΠΈΠ·ΠΏΡΠ°ΡΠ°Π½Π΅ Π½Π° ΠΎΡΠ³ΠΎΠ²ΠΎΡ icmp-net-Π½Π΅Π΄ΠΎΡΡΡΠΏΠ΅Π½, icmp-proto-Π½Π΅Π΄ΠΎΡΡΡΠΏΠ΅Π½, icmp-net-Π·Π°Π±ΡΠ°Π½Π΅Π½ΠΎ ΠΈ icmp-Ρ ΠΎΡΡ-Π·Π°Π±ΡΠ°Π½Π΅Π½).
ΠΠ°ΠΏΠΊΠ°
ΠΠΊΠΎ ΠΈΠΌΠ° ΠΏΡΠ°Π²ΠΈΠ»ΠΎ Ρ DROP, ΠΏΠ°ΠΊΠ΅ΡΠΈΡΠ΅ ΠΏΡΠΎΡΡΠΎ ΡΠ΅ βΠΈΠ·ΡΠ΅Π·Π½Π°Ρβ.
iptables -A INPUT -p tcp --dport 12345 -j DROP
Π‘ΡΠ°ΡΡΠΈΡΠ°ΠΌΠ΅ ΠΊΠ»ΠΈΠ΅Π½ΡΠ° ΠΈ Π²ΠΈΠΆΠ΄Π°ΠΌΠ΅, ΡΠ΅ ΡΠΎΠΉ Π·Π°ΠΌΡΡΠ·Π²Π° Π½Π° Π΅ΡΠ°ΠΏΠ° Π½Π° ΡΠ²ΡΡΠ·Π²Π°Π½Π΅ ΠΊΡΠΌ ΡΡΡΠ²ΡΡΠ°. ΠΠ΅ΠΊΠ° Π΄Π° ΡΠ°Π·Π³Π»Π΅Π΄Π°ΠΌΠ΅ ΡΡΠ°ΡΠΈΠΊΠ°:
Π‘Π²Π°Π»ΠΊΠ° Π½Π° ΡΡΠ°ΡΠΈΠΊΠ°
[user@host ~]# tcpdump -i lo -nn port 12345
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
08:28:20.213506 IP 127.0.0.1.32856 > 127.0.0.1.12345: Flags [S], seq 3019694933, win 43690, options [mss 65495,sackOK,TS val 1203046450 ecr 0,nop,wscale 7], length 0
08:28:21.215086 IP 127.0.0.1.32856 > 127.0.0.1.12345: Flags [S], seq 3019694933, win 43690, options [mss 65495,sackOK,TS val 1203047452 ecr 0,nop,wscale 7], length 0
08:28:23.219092 IP 127.0.0.1.32856 > 127.0.0.1.12345: Flags [S], seq 3019694933, win 43690, options [mss 65495,sackOK,TS val 1203049456 ecr 0,nop,wscale 7], length 0
08:28:27.227087 IP 127.0.0.1.32856 > 127.0.0.1.12345: Flags [S], seq 3019694933, win 43690, options [mss 65495,sackOK,TS val 1203053464 ecr 0,nop,wscale 7], length 0
08:28:35.235102 IP 127.0.0.1.32856 > 127.0.0.1.12345: Flags [S], seq 3019694933, win 43690, options [mss 65495,sackOK,TS val 1203061472 ecr 0,nop,wscale 7], length 0
ΠΠΎΠΆΠ΅ Π΄Π° ΡΠ΅ Π²ΠΈΠ΄ΠΈ, ΡΠ΅ ΠΊΠ»ΠΈΠ΅Π½ΡΡΡ ΠΈΠ·ΠΏΡΠ°ΡΠ° SYN ΠΏΠ°ΠΊΠ΅ΡΠΈ Ρ Π΅ΠΊΡΠΏΠΎΠ½Π΅Π½ΡΠΈΠ°Π»Π½ΠΎ Π½Π°ΡΠ°ΡΡΠ²Π°ΡΠΎ Π²ΡΠ΅ΠΌΠ΅ Π·Π° ΠΈΠ·ΡΠ°ΠΊΠ²Π°Π½Π΅. Π’Π°ΠΊΠ° ΡΠ΅ ΠΎΡΠΊΡΠΈΡ ΠΌΠ΅ ΠΌΠ°Π»ΡΠΊ Π±ΡΠ³ Π² ΠΊΠ»ΠΈΠ΅Π½ΡΠ°: ΡΡΡΠ±Π²Π° Π΄Π° ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΡΠ΅ ΠΌΠ΅ΡΠΎΠ΄Π° settimeout()Π·Π° ΠΎΠ³ΡΠ°Π½ΠΈΡΠ°Π²Π°Π½Π΅ Π½Π° Π²ΡΠ΅ΠΌΠ΅ΡΠΎ, ΠΏΡΠ΅Π· ΠΊΠΎΠ΅ΡΠΎ ΠΊΠ»ΠΈΠ΅Π½ΡΡΡ ΡΠ΅ ΡΠ΅ ΠΎΠΏΠΈΡΠ²Π° Π΄Π° ΡΠ΅ ΡΠ²ΡΡΠΆΠ΅ ΡΡΡ ΡΡΡΠ²ΡΡΠ°.
ΠΠ΅Π΄Π½Π°Π³Π° ΠΏΡΠ΅ΠΌΠ°Ρ Π²Π°ΠΌΠ΅ ΠΏΡΠ°Π²ΠΈΠ»ΠΎΡΠΎ:
iptables -D INPUT -p tcp --dport 12345 -j DROP
ΠΠΎΠΆΠ΅ΡΠ΅ Π΄Π° ΠΈΠ·ΡΡΠΈΠ΅ΡΠ΅ Π²ΡΠΈΡΠΊΠΈ ΠΏΡΠ°Π²ΠΈΠ»Π° Π½Π°Π²Π΅Π΄Π½ΡΠΆ:
iptables -F
ΠΠΊΠΎ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΡΠ΅ Docker ΠΈ ΡΡΡΠ±Π²Π° Π΄Π° Π·Π°ΡΠΈΡΠΈΡΠ΅ ΡΠ΅Π»ΠΈΡ ΡΡΠ°ΡΠΈΠΊ, ΠΎΡΠΈΠ²Π°Ρ ΠΊΡΠΌ ΠΊΠΎΠ½ΡΠ΅ΠΉΠ½Π΅ΡΠ°, ΡΠΎΠ³Π°Π²Π° ΠΌΠΎΠΆΠ΅ΡΠ΅ Π΄Π° Π³ΠΎ Π½Π°ΠΏΡΠ°Π²ΠΈΡΠ΅ ΠΏΠΎ ΡΠ»Π΅Π΄Π½ΠΈΡ Π½Π°ΡΠΈΠ½:
iptables -I DOCKER-USER -p tcp -d CONTAINER_IP -j DROP
ΠΠ’Π₯ΠΠͺΠ ΠΠΠ’Π
Π‘Π΅Π³Π° Π½Π΅ΠΊΠ° Π΄ΠΎΠ±Π°Π²ΠΈΠΌ ΠΏΠΎΠ΄ΠΎΠ±Π½ΠΎ ΠΏΡΠ°Π²ΠΈΠ»ΠΎ, Π½ΠΎ Ρ REJECT:
iptables -A INPUT -p tcp --dport 12345 -j REJECT
ΠΠ»ΠΈΠ΅Π½ΡΡΡ ΠΈΠ·Π»ΠΈΠ·Π° ΡΠ»Π΅Π΄ ΡΠ΅ΠΊΡΠ½Π΄Π° Ρ Π³ΡΠ΅ΡΠΊΠ° [Errno 111] ΠΡΡΠ·ΠΊΠ°ΡΠ° Π΅ ΠΎΡΠΊΠ°Π·Π°Π½Π°. ΠΠ΅ΠΊΠ° Π΄Π° ΡΠ°Π·Π³Π»Π΅Π΄Π°ΠΌΠ΅ ICMP ΡΡΠ°ΡΠΈΠΊΠ°:
[user@host ~]# tcpdump -i lo -nn icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
08:45:32.871414 IP 127.0.0.1 > 127.0.0.1: ICMP 127.0.0.1 tcp port 12345 unreachable, length 68
08:45:33.873097 IP 127.0.0.1 > 127.0.0.1: ICMP 127.0.0.1 tcp port 12345 unreachable, length 68
ΠΠΈΠΆΠ΄Π° ΡΠ΅, ΡΠ΅ ΠΊΠ»ΠΈΠ΅Π½ΡΡΡ Π΅ ΠΏΠΎΠ»ΡΡΠΈΠ» Π΄Π²Π° ΠΏΡΡΠΈ ΠΏΠΎΡΡ Π½Π΅Π΄ΠΎΡΡΡΠΏΠ΅Π½ ΠΈ ΡΠ»Π΅Π΄ ΡΠΎΠ²Π° Π·Π°Π²ΡΡΡΠΈ Ρ Π³ΡΠ΅ΡΠΊΠ°.
ΠΠ’Π₯ΠΠͺΠ ΠΠΠ’Π Ρ tcp-reset
ΠΠ΅ΠΊΠ° ΡΠ΅ ΠΎΠΏΠΈΡΠ°ΠΌΠ΅ Π΄Π° Π΄ΠΎΠ±Π°Π²ΠΈΠΌ ΠΎΠΏΡΠΈΡΡΠ° --reject-Ρ tcp-reset:
iptables -A INPUT -p tcp --dport 12345 -j REJECT --reject-with tcp-reset
Π ΡΠΎΠ·ΠΈ ΡΠ»ΡΡΠ°ΠΉ ΠΊΠ»ΠΈΠ΅Π½ΡΡΡ Π²Π΅Π΄Π½Π°Π³Π° ΠΈΠ·Π»ΠΈΠ·Π° Ρ Π³ΡΠ΅ΡΠΊΠ°, ΡΡΠΉ ΠΊΠ°ΡΠΎ ΠΏΡΡΠ²Π°ΡΠ° Π·Π°ΡΠ²ΠΊΠ° Π΅ ΠΏΠΎΠ»ΡΡΠΈΠ»Π° RST ΠΏΠ°ΠΊΠ΅Ρ:
[user@host ~]# tcpdump -i lo -nn port 12345
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
09:02:52.766175 IP 127.0.0.1.60658 > 127.0.0.1.12345: Flags [S], seq 1889460883, win 43690, options [mss 65495,sackOK,TS val 1205119003 ecr 0,nop,wscale 7], length 0
09:02:52.766184 IP 127.0.0.1.12345 > 127.0.0.1.60658: Flags [R.], seq 0, ack 1889460884, win 0, length 0
REJECT Ρ icmp-host-unreachable
ΠΠ΅ΠΊΠ° ΠΎΠΏΠΈΡΠ°ΠΌΠ΅ Π΄ΡΡΠ³Π° ΠΎΠΏΡΠΈΡ Π·Π° ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½Π΅ Π½Π° REJECT:
iptables -A INPUT -p tcp --dport 12345 -j REJECT --reject-with icmp-host-unreachable
ΠΠ»ΠΈΠ΅Π½ΡΡΡ ΠΈΠ·Π»ΠΈΠ·Π° ΡΠ»Π΅Π΄ ΡΠ΅ΠΊΡΠ½Π΄Π° Ρ Π³ΡΠ΅ΡΠΊΠ° [Errno 113] ΠΡΠΌΠ° ΠΌΠ°ΡΡΡΡΡ ΠΊΡΠΌ Ρ ΠΎΡΡΠ°, Π²ΠΈΠΆΠ΄Π°ΠΌΠ΅ Π² ICMP ΡΡΠ°ΡΠΈΠΊΠ° ICMP Ρ ΠΎΡΡ 127.0.0.1 Π½Π΅Π΄ΠΎΡΡΡΠΏΠ΅Π½.
ΠΠΎΠΆΠ΅ΡΠ΅ ΡΡΡΠΎ ΡΠ°ΠΊΠ° Π΄Π° ΠΎΠΏΠΈΡΠ°ΡΠ΅ Π΄ΡΡΠ³ΠΈΡΠ΅ REJECT ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΈ ΠΈ Π°Π· ΡΠ΅ ΡΠ΅ ΡΡΡΡΠ΅Π΄ΠΎΡΠΎΡΠ° Π²ΡΡΡ Ρ ΡΡΡ :)
ΠΡΠ΅ΠΌΠ΅ Π·Π° ΠΈΠ·ΡΠ°ΠΊΠ²Π°Π½Π΅ Π½Π° ΡΠΈΠΌΡΠ»ΠΈΡΠ°Π½Π΅ Π½Π° Π·Π°ΡΠ²ΠΊΠ°
ΠΡΡΠ³Π° ΡΠΈΡΡΠ°ΡΠΈΡ Π΅, ΠΊΠΎΠ³Π°ΡΠΎ ΠΊΠ»ΠΈΠ΅Π½ΡΡΡ Π΅ ΡΡΠΏΡΠ» Π΄Π° ΡΠ΅ ΡΠ²ΡΡΠΆΠ΅ ΡΡΡ ΡΡΡΠ²ΡΡΠ°, Π½ΠΎ Π½Π΅ ΠΌΠΎΠΆΠ΅ Π΄Π° ΠΈΠ·ΠΏΡΠ°ΡΠΈ Π·Π°ΡΠ²ΠΊΠ° Π΄ΠΎ Π½Π΅Π³ΠΎ. ΠΠ°ΠΊ Π΄Π° ΡΠΈΠ»ΡΡΠΈΡΠ°ΡΠ΅ ΠΏΠ°ΠΊΠ΅ΡΠΈ, ΡΠ°ΠΊΠ° ΡΠ΅ ΡΠΈΠ»ΡΡΠΈΡΠ°Π½Π΅ΡΠΎ Π΄Π° Π½Π΅ Π·Π°ΠΏΠΎΡΠ½Π΅ Π²Π΅Π΄Π½Π°Π³Π°? ΠΠΊΠΎ ΠΏΠΎΠ³Π»Π΅Π΄Π½Π΅ΡΠ΅ ΡΡΠ°ΡΠΈΠΊΠ° Π½Π° Π²ΡΡΠΊΠ° ΠΊΠΎΠΌΡΠ½ΠΈΠΊΠ°ΡΠΈΡ ΠΌΠ΅ΠΆΠ΄Ρ ΠΊΠ»ΠΈΠ΅Π½ΡΠ° ΠΈ ΡΡΡΠ²ΡΡΠ°, ΡΠ΅ Π·Π°Π±Π΅Π»Π΅ΠΆΠΈΡΠ΅, ΡΠ΅ ΠΏΡΠΈ ΡΡΡΠ°Π½ΠΎΠ²ΡΠ²Π°Π½Π΅ Π½Π° Π²ΡΡΠ·ΠΊΠ° ΡΠ΅ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Ρ ΡΠ°ΠΌΠΎ ΡΠ»Π°Π³ΠΎΠ²Π΅ΡΠ΅ SYN ΠΈ ACK, Π½ΠΎ ΠΏΡΠΈ ΠΎΠ±ΠΌΠ΅Π½ Π½Π° Π΄Π°Π½Π½ΠΈ ΠΏΠΎΡΠ»Π΅Π΄Π½ΠΈΡΡ ΠΏΠ°ΠΊΠ΅Ρ Π·Π°ΡΠ²ΠΊΠ° ΡΠ΅ ΡΡΠ΄ΡΡΠΆΠ° ΡΠ»Π°Π³Π° PSH. Π’ΠΎΠΉ ΡΠ΅ ΠΈΠ½ΡΡΠ°Π»ΠΈΡΠ° Π°Π²ΡΠΎΠΌΠ°ΡΠΈΡΠ½ΠΎ, Π·Π° Π΄Π° ΡΠ΅ ΠΈΠ·Π±Π΅Π³Π½Π΅ Π±ΡΡΠ΅ΡΠΈΡΠ°Π½Π΅ΡΠΎ. ΠΠΎΠΆΠ΅ΡΠ΅ Π΄Π° ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΡΠ΅ ΡΠ°Π·ΠΈ ΠΈΠ½ΡΠΎΡΠΌΠ°ΡΠΈΡ, Π·Π° Π΄Π° ΡΡΠ·Π΄Π°Π΄Π΅ΡΠ΅ ΡΠΈΠ»ΡΡΡ: ΡΠΎΠΉ ΡΠ΅ ΠΏΠΎΠ·Π²ΠΎΠ»ΠΈ Π²ΡΠΈΡΠΊΠΈ ΠΏΠ°ΠΊΠ΅ΡΠΈ Ρ ΠΈΠ·ΠΊΠ»ΡΡΠ΅Π½ΠΈΠ΅ Π½Π° ΡΠ΅Π·ΠΈ, ΡΡΠ΄ΡΡΠΆΠ°ΡΠΈ ΡΠ»Π°Π³Π° PSH. Π’Π°ΠΊΠ° Π²ΡΡΠ·ΠΊΠ°ΡΠ° ΡΠ΅ Π±ΡΠ΄Π΅ ΡΡΡΠ°Π½ΠΎΠ²Π΅Π½Π°, Π½ΠΎ ΠΊΠ»ΠΈΠ΅Π½ΡΡΡ Π½ΡΠΌΠ° Π΄Π° ΠΌΠΎΠΆΠ΅ Π΄Π° ΠΈΠ·ΠΏΡΠ°ΡΠ° Π΄Π°Π½Π½ΠΈ ΠΊΡΠΌ ΡΡΡΠ²ΡΡΠ°.
ΠΠ°ΠΏΠΊΠ°
ΠΠ° DROP ΠΊΠΎΠΌΠ°Π½Π΄Π°ΡΠ° ΡΠ΅ ΠΈΠ·Π³Π»Π΅ΠΆΠ΄Π° ΡΠ°ΠΊΠ°:
iptables -A INPUT -p tcp --tcp-flags PSH PSH --dport 12345 -j DROP
Π‘ΡΠ°ΡΡΠΈΡΠ°ΠΉΡΠ΅ ΠΊΠ»ΠΈΠ΅Π½ΡΠ° ΠΈ Π½Π°Π±Π»ΡΠ΄Π°Π²Π°ΠΉΡΠ΅ ΡΡΠ°ΡΠΈΠΊΠ°:
Π‘Π²Π°Π»ΠΊΠ° Π½Π° ΡΡΠ°ΡΠΈΠΊΠ°
[user@host ~]# tcpdump -i lo -nn port 12345
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
10:02:47.549498 IP 127.0.0.1.49594 > 127.0.0.1.12345: Flags [S], seq 2166014137, win 43690, options [mss 65495,sackOK,TS val 1208713786 ecr 0,nop,wscale 7], length 0
10:02:47.549510 IP 127.0.0.1.12345 > 127.0.0.1.49594: Flags [S.], seq 2341799088, ack 2166014138, win 43690, options [mss 65495,sackOK,TS val 1208713786 ecr 1208713786,nop,wscale 7], length 0
10:02:47.549520 IP 127.0.0.1.49594 > 127.0.0.1.12345: Flags [.], ack 1, win 342, options [nop,nop,TS val 1208713786 ecr 1208713786], length 0
10:02:47.549568 IP 127.0.0.1.49594 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 1208713786 ecr 1208713786], length 5
10:02:47.750084 IP 127.0.0.1.49594 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 1208713987 ecr 1208713786], length 5
10:02:47.951088 IP 127.0.0.1.49594 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 1208714188 ecr 1208713786], length 5
10:02:48.354089 IP 127.0.0.1.49594 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 1208714591 ecr 1208713786], length 5
ΠΠΈΠΆΠ΄Π°ΠΌΠ΅, ΡΠ΅ Π²ΡΡΠ·ΠΊΠ°ΡΠ° Π΅ ΡΡΡΠ°Π½ΠΎΠ²Π΅Π½Π° ΠΈ ΠΊΠ»ΠΈΠ΅Π½ΡΡΡ Π½Π΅ ΠΌΠΎΠΆΠ΅ Π΄Π° ΠΈΠ·ΠΏΡΠ°ΡΠ° Π΄Π°Π½Π½ΠΈ ΠΊΡΠΌ ΡΡΡΠ²ΡΡΠ°.
ΠΠ’Π₯ΠΠͺΠ ΠΠΠ’Π
Π ΡΠΎΠ·ΠΈ ΡΠ»ΡΡΠ°ΠΉ ΠΏΠΎΠ²Π΅Π΄Π΅Π½ΠΈΠ΅ΡΠΎ ΡΠ΅ Π±ΡΠ΄Π΅ ΡΡΡΠΎΡΠΎ: ΠΊΠ»ΠΈΠ΅Π½ΡΡΡ Π½ΡΠΌΠ° Π΄Π° ΠΌΠΎΠΆΠ΅ Π΄Π° ΠΈΠ·ΠΏΡΠ°ΡΠΈ Π·Π°ΡΠ²ΠΊΠ°ΡΠ°, Π½ΠΎ ΡΠ΅ ΠΏΠΎΠ»ΡΡΠΈ ICMP 127.0.0.1 tcp ΠΏΠΎΡΡ 12345 Π½Π΅Π΄ΠΎΡΡΡΠΏΠ΅Π½ ΠΈ ΡΠ²Π΅Π»ΠΈΡΠ΅ΡΠ΅ Π΅ΠΊΡΠΏΠΎΠ½Π΅Π½ΡΠΈΠ°Π»Π½ΠΎ Π²ΡΠ΅ΠΌΠ΅ΡΠΎ ΠΌΠ΅ΠΆΠ΄Ρ ΠΏΠΎΠ²ΡΠΎΡΠ½ΠΎΡΠΎ ΠΈΠ·ΠΏΡΠ°ΡΠ°Π½Π΅ Π½Π° Π·Π°ΡΠ²ΠΊΠΈ. ΠΠΎΠΌΠ°Π½Π΄Π°ΡΠ° ΠΈΠ·Π³Π»Π΅ΠΆΠ΄Π° ΡΠ°ΠΊΠ°:
iptables -A INPUT -p tcp --tcp-flags PSH PSH --dport 12345 -j REJECT
ΠΠ’Π₯ΠΠͺΠ ΠΠΠ’Π Ρ tcp-reset
ΠΠΎΠΌΠ°Π½Π΄Π°ΡΠ° ΠΈΠ·Π³Π»Π΅ΠΆΠ΄Π° ΡΠ°ΠΊΠ°:
iptables -A INPUT -p tcp --tcp-flags PSH PSH --dport 12345 -j REJECT --reject-with tcp-reset
ΠΠ΅ΡΠ΅ Π·Π½Π°Π΅ΠΌ ΡΠΎΠ²Π°, ΠΊΠΎΠ³Π°ΡΠΎ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΠΌΠ΅ --reject-Ρ tcp-reset ΠΊΠ»ΠΈΠ΅Π½ΡΡΡ ΡΠ΅ ΠΏΠΎΠ»ΡΡΠΈ RST ΠΏΠ°ΠΊΠ΅Ρ Π² ΠΎΡΠ³ΠΎΠ²ΠΎΡ, ΡΠ°ΠΊΠ° ΡΠ΅ ΠΏΠΎΠ²Π΅Π΄Π΅Π½ΠΈΠ΅ΡΠΎ ΠΌΠΎΠΆΠ΅ Π΄Π° ΡΠ΅ ΠΏΡΠ΅Π΄Π²ΠΈΠ΄ΠΈ: ΠΏΠΎΠ»ΡΡΠ°Π²Π°Π½Π΅ΡΠΎ Π½Π° RST ΠΏΠ°ΠΊΠ΅Ρ, Π΄ΠΎΠΊΠ°ΡΠΎ Π²ΡΡΠ·ΠΊΠ°ΡΠ° Π΅ ΡΡΡΠ°Π½ΠΎΠ²Π΅Π½Π°, ΠΎΠ·Π½Π°ΡΠ°Π²Π°, ΡΠ΅ ΡΠΎΠΊΠ΅ΡΡΡ Π΅ Π½Π΅ΠΎΡΠ°ΠΊΠ²Π°Π½ΠΎ Π·Π°ΡΠ²ΠΎΡΠ΅Π½ ΠΎΡ Π΄ΡΡΠ³Π°ΡΠ° ΡΡΡΠ°Π½Π°, ΠΊΠΎΠ΅ΡΠΎ ΠΎΠ·Π½Π°ΡΠ°Π²Π°, ΡΠ΅ ΠΊΠ»ΠΈΠ΅Π½ΡΡΡ ΡΡΡΠ±Π²Π° Π΄Π° ΠΏΠΎΠ»ΡΡΠΈ ΠΡΠ»ΠΈΡΠ°Π½Π΅ Π½Π° Π²ΡΡΠ·ΠΊΠ°ΡΠ° ΠΎΡ ΠΏΠ°ΡΡΠ½ΡΠΎΡ. ΠΠ΅ΠΊΠ° ΡΡΠ°ΡΡΠΈΡΠ°ΠΌΠ΅ Π½Π°ΡΠΈΡ ΡΠΊΡΠΈΠΏΡ ΠΈ Π΄Π° ΡΠ΅ ΡΠ²Π΅ΡΠΈΠΌ Π² ΡΠΎΠ²Π°. Π Π΅ΡΠΎ ΠΊΠ°ΠΊ ΡΠ΅ ΠΈΠ·Π³Π»Π΅ΠΆΠ΄Π° ΡΡΠ°ΡΠΈΠΊΠ°:
Π‘Π²Π°Π»ΠΊΠ° Π½Π° ΡΡΠ°ΡΠΈΠΊΠ°
[user@host ~]# tcpdump -i lo -nn port 12345
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
10:22:14.186269 IP 127.0.0.1.52536 > 127.0.0.1.12345: Flags [S], seq 2615137531, win 43690, options [mss 65495,sackOK,TS val 1209880423 ecr 0,nop,wscale 7], length 0
10:22:14.186284 IP 127.0.0.1.12345 > 127.0.0.1.52536: Flags [S.], seq 3999904809, ack 2615137532, win 43690, options [mss 65495,sackOK,TS val 1209880423 ecr 1209880423,nop,wscale 7], length 0
10:22:14.186293 IP 127.0.0.1.52536 > 127.0.0.1.12345: Flags [.], ack 1, win 342, options [nop,nop,TS val 1209880423 ecr 1209880423], length 0
10:22:14.186338 IP 127.0.0.1.52536 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 1209880423 ecr 1209880423], length 5
10:22:14.186344 IP 127.0.0.1.12345 > 127.0.0.1.52536: Flags [R], seq 3999904810, win 0, length 0
REJECT Ρ icmp-host-unreachable
ΠΠΈΡΠ»Ρ, ΡΠ΅ Π²Π΅ΡΠ΅ Π΅ ΠΎΡΠ΅Π²ΠΈΠ΄Π½ΠΎ Π·Π° Π²ΡΠΈΡΠΊΠΈ ΠΊΠ°ΠΊ ΡΠ΅ ΠΈΠ·Π³Π»Π΅ΠΆΠ΄Π° ΠΊΠΎΠΌΠ°Π½Π΄Π°ΡΠ° :) ΠΠΎΠ²Π΅Π΄Π΅Π½ΠΈΠ΅ΡΠΎ Π½Π° ΠΊΠ»ΠΈΠ΅Π½ΡΠ° Π² ΡΠΎΠ·ΠΈ ΡΠ»ΡΡΠ°ΠΉ ΡΠ΅ Π±ΡΠ΄Π΅ ΠΌΠ°Π»ΠΊΠΎ ΠΏΠΎ-ΡΠ°Π·Π»ΠΈΡΠ½ΠΎ ΠΎΡ ΡΠΎΠ²Π° Ρ ΠΎΠ±ΠΈΠΊΠ½ΠΎΠ²Π΅Π½ REJECT: ΠΊΠ»ΠΈΠ΅Π½ΡΡΡ Π½ΡΠΌΠ° Π΄Π° ΡΠ²Π΅Π»ΠΈΡΠΈ Π²ΡΠ΅ΠΌΠ΅ΡΠΎ Π·Π° ΠΈΠ·ΡΠ°ΠΊΠ²Π°Π½Π΅ ΠΌΠ΅ΠΆΠ΄Ρ ΠΎΠΏΠΈΡΠΈΡΠ΅ Π·Π° ΠΏΠΎΠ²ΡΠΎΡΠ½ΠΎ ΠΈΠ·ΠΏΡΠ°ΡΠ°Π½Π΅ Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠ°.
[user@host ~]# tcpdump -i lo -nn icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
10:29:56.149202 IP 127.0.0.1 > 127.0.0.1: ICMP host 127.0.0.1 unreachable, length 65
10:29:56.349107 IP 127.0.0.1 > 127.0.0.1: ICMP host 127.0.0.1 unreachable, length 65
10:29:56.549117 IP 127.0.0.1 > 127.0.0.1: ICMP host 127.0.0.1 unreachable, length 65
10:29:56.750125 IP 127.0.0.1 > 127.0.0.1: ICMP host 127.0.0.1 unreachable, length 65
10:29:56.951130 IP 127.0.0.1 > 127.0.0.1: ICMP host 127.0.0.1 unreachable, length 65
10:29:57.152107 IP 127.0.0.1 > 127.0.0.1: ICMP host 127.0.0.1 unreachable, length 65
10:29:57.353115 IP 127.0.0.1 > 127.0.0.1: ICMP host 127.0.0.1 unreachable, length 65
ΠΡΠΎΠ΄ΡΠΊΡΠΈΡ
ΠΠ΅ Π΅ Π½Π΅ΠΎΠ±Ρ ΠΎΠ΄ΠΈΠΌΠΎ Π΄Π° ΠΏΠΈΡΠ΅ΡΠ΅ ΠΌΠ°ΠΊΠ΅Ρ, Π·Π° Π΄Π° ΡΠ΅ΡΡΠ²Π°ΡΠ΅ Π²Π·Π°ΠΈΠΌΠΎΠ΄Π΅ΠΉΡΡΠ²ΠΈΠ΅ΡΠΎ Π½Π° ΡΡΠ»ΡΠ³Π° Ρ ΠΎΠΊΠ°ΡΠ΅Π½ ΠΊΠ»ΠΈΠ΅Π½Ρ ΠΈΠ»ΠΈ ΡΡΡΠ²ΡΡ; ΠΏΠΎΠ½ΡΠΊΠΎΠ³Π° Π΅ Π΄ΠΎΡΡΠ°ΡΡΡΠ½ΠΎ Π΄Π° ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΡΠ΅ ΡΡΠ°Π½Π΄Π°ΡΡΠ½ΠΈ ΠΏΠΎΠΌΠΎΡΠ½ΠΈ ΠΏΡΠΎΠ³ΡΠ°ΠΌΠΈ, Π½Π°ΠΌΠΈΡΠ°ΡΠΈ ΡΠ΅ Π² Linux.
ΠΠΎΠΌΠΎΡΠ½ΠΈΡΠ΅ ΠΏΡΠΎΠ³ΡΠ°ΠΌΠΈ, ΠΎΠ±ΡΡΠ΄Π΅Π½ΠΈ Π² ΡΡΠ°ΡΠΈΡΡΠ°, ΠΈΠΌΠ°Ρ Π΄ΠΎΡΠΈ ΠΏΠΎΠ²Π΅ΡΠ΅ Π²ΡΠ·ΠΌΠΎΠΆΠ½ΠΎΡΡΠΈ, ΠΎΡΠΊΠΎΠ»ΠΊΠΎΡΠΎ ΡΠ° ΠΎΠΏΠΈΡΠ°Π½ΠΈ, ΡΠ°ΠΊΠ° ΡΠ΅ ΠΌΠΎΠΆΠ΅ΡΠ΅ Π΄Π° ΠΈΠ·ΠΌΠΈΡΠ»ΠΈΡΠ΅ Π½ΡΠΊΠΎΠΈ ΠΎΡ Π²Π°ΡΠΈΡΠ΅ ΡΠΎΠ±ΡΡΠ²Π΅Π½ΠΈ ΠΎΠΏΡΠΈΠΈ Π·Π° ΡΡΡ
Π½ΠΎΡΠΎ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½Π΅. ΠΠ° ΠΌΠ΅Π½ Π»ΠΈΡΠ½ΠΎ Π²ΠΈΠ½Π°Π³ΠΈ ΠΌΠΈ ΡΡΠΈΠ³Π° ΡΠΎΠ²Π°, Π·Π° ΠΊΠΎΠ΅ΡΠΎ ΡΡΠΌ ΠΏΠΈΡΠ°Π» (Π²ΡΡΡΠ½ΠΎΡΡ Π΄ΠΎΡΠΈ ΠΏΠΎ-ΠΌΠ°Π»ΠΊΠΎ). ΠΠΊΠΎ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΡΠ΅ ΡΠ΅Π·ΠΈ ΠΈΠ»ΠΈ ΠΏΠΎΠ΄ΠΎΠ±Π½ΠΈ ΠΏΠΎΠΌΠΎΡΠ½ΠΈ ΠΏΡΠΎΠ³ΡΠ°ΠΌΠΈ ΠΏΡΠΈ ΡΠ΅ΡΡΠ²Π°Π½Π΅ Π²ΡΠ² Π²Π°ΡΠ°ΡΠ° ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΡ, ΠΌΠΎΠ»Ρ, Π½Π°ΠΏΠΈΡΠ΅ΡΠ΅ ΠΊΠ°ΠΊ ΡΠΎΡΠ½ΠΎ. ΠΠΊΠΎ Π½Π΅, ΡΠΎΠ³Π°Π²Π° ΡΠ΅ Π½Π°Π΄ΡΠ²Π°ΠΌ Π²Π°ΡΠΈΡΡ ΡΠΎΡΡΡΠ΅Ρ Π΄Π° ΡΡΠ°Π½Π΅ ΠΏΠΎ-Π΄ΠΎΠ±ΡΡ, Π°ΠΊΠΎ ΡΠ΅ΡΠΈΡΠ΅ Π΄Π° Π³ΠΎ ΡΠ΅ΡΡΠ²Π°ΡΠ΅ Π² ΡΡΠ»ΠΎΠ²ΠΈΡ Π½Π° ΠΌΡΠ΅ΠΆΠΎΠ²ΠΈ ΠΏΡΠΎΠ±Π»Π΅ΠΌΠΈ, ΠΊΠ°ΡΠΎ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΡΠ΅ ΠΏΡΠ΅Π΄Π»ΠΎΠΆΠ΅Π½ΠΈΡΠ΅ ΠΌΠ΅ΡΠΎΠ΄ΠΈ.
ΠΠ·ΡΠΎΡΠ½ΠΈΠΊ: www.habr.com