Баарыныздарга салам, менин атым Саша, мен FunCorpто тестирлөө жүргүзөм. Биз, башкалар сыяктуу эле, тейлөөгө багытталган архитектураны ишке ашырдык. Бир жагынан бул ишти жеңилдетет, анткени... Ар бир кызматты өзүнчө сынап көрүү оңой, бирок экинчи жагынан кызматтардын бири-бири менен өз ара аракеттенүүсүн текшерүү зарылчылыгы бар, бул көбүнчө тармак аркылуу пайда болот.
Бул макалада мен тармак көйгөйлөрү болгон учурда тиркеменин иштешин сүрөттөгөн негизги сценарийлерди текшерүү үчүн колдонула турган эки утилита жөнүндө сүйлөшөм.
Тармак көйгөйлөрүн симуляциялоо
Эреже катары, программалык камсыздоо жакшы интернет байланышы бар тесттик серверлерде текшерилет. Катаал өндүрүш чөйрөсүндө нерселер анчалык жылмакай болбошу мүмкүн, андыктан кээде начар байланыш шарттарында программаларды сынап көрүү керек болот. Linux боюнча, утилита мындай шарттарды имитациялоо тапшырмасын аткарууга жардам берет tc.
tc(abbr. Traffic Control кызматынан) системадагы тармак пакеттерин берүүнү конфигурациялоого мүмкүндүк берет. Бул утилита чоң мүмкүнчүлүктөргө ээ, алар жөнүндө көбүрөөк окуй аласыз . Бул жерде мен алардын айрымдарын гана карап чыгам: биз трафикти графикке кызыкдарбыз, алар үчүн биз колдонобуз qdisc, жана туруксуз тармакты туурашыбыз керек болгондуктан, биз класссыз qdisc колдонобуз .
Серверде жаңырык серверин ишке киргизели (мен колдонгон ):
ncat -l 127.0.0.1 12345 -k -c 'xargs -n1 -i echo "Response: {}"'
Кардар менен сервердин ортосундагы өз ара аракеттенүүнүн ар бир кадамында бардык убакыт белгилерин майда-чүйдөсүнө чейин көрсөтүү үчүн мен сурам жөнөтүүчү жөнөкөй Python скриптин жаздым. текшерүү биздин echo серверибизге.
Кардардын булак коду
#!/bin/python
import socket
import time
HOST = '127.0.0.1'
PORT = 12345
BUFFER_SIZE = 1024
MESSAGE = "Testn"
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
t1 = time.time()
print "[time before connection: %.5f]" % t1
s.connect((HOST, PORT))
print "[time after connection, before sending: %.5f]" % time.time()
s.send(MESSAGE)
print "[time after sending, before receiving: %.5f]" % time.time()
data = s.recv(BUFFER_SIZE)
print "[time after receiving, before closing: %.5f]" % time.time()
s.close()
t2 = time.time()
print "[time after closing: %.5f]" % t2
print "[total duration: %.5f]" % (t2 - t1)
print data
Аны ишке киргизип, интерфейстеги трафикти карап көрөлү lo жана порт 12345:
[user@host ~]# python client.py
[time before connection: 1578652979.44837]
[time after connection, before sending: 1578652979.44889]
[time after sending, before receiving: 1578652979.44894]
[time after receiving, before closing: 1578652979.45922]
[time after closing: 1578652979.45928]
[total duration: 0.01091]
Response: Test
Трафик таштандысы
[user@host ~]# tcpdump -i lo -nn port 12345
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
10:42:59.448601 IP 127.0.0.1.54054 > 127.0.0.1.12345: Flags [S], seq 3383332866, win 43690, options [mss 65495,sackOK,TS val 606325685 ecr 0,nop,wscale 7], length 0
10:42:59.448612 IP 127.0.0.1.12345 > 127.0.0.1.54054: Flags [S.], seq 2584700178, ack 3383332867, win 43690, options [mss 65495,sackOK,TS val 606325685 ecr 606325685,nop,wscale 7], length 0
10:42:59.448622 IP 127.0.0.1.54054 > 127.0.0.1.12345: Flags [.], ack 1, win 342, options [nop,nop,TS val 606325685 ecr 606325685], length 0
10:42:59.448923 IP 127.0.0.1.54054 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 606325685 ecr 606325685], length 5
10:42:59.448930 IP 127.0.0.1.12345 > 127.0.0.1.54054: Flags [.], ack 6, win 342, options [nop,nop,TS val 606325685 ecr 606325685], length 0
10:42:59.459118 IP 127.0.0.1.12345 > 127.0.0.1.54054: Flags [P.], seq 1:15, ack 6, win 342, options [nop,nop,TS val 606325696 ecr 606325685], length 14
10:42:59.459213 IP 127.0.0.1.54054 > 127.0.0.1.12345: Flags [.], ack 15, win 342, options [nop,nop,TS val 606325696 ecr 606325696], length 0
10:42:59.459268 IP 127.0.0.1.54054 > 127.0.0.1.12345: Flags [F.], seq 6, ack 15, win 342, options [nop,nop,TS val 606325696 ecr 606325696], length 0
10:42:59.460184 IP 127.0.0.1.12345 > 127.0.0.1.54054: Flags [F.], seq 15, ack 7, win 342, options [nop,nop,TS val 606325697 ecr 606325696], length 0
10:42:59.460196 IP 127.0.0.1.54054 > 127.0.0.1.12345: Flags [.], ack 16, win 342, options [nop,nop,TS val 606325697 ecr 606325697], length 0
Баары стандарттуу: үч тараптуу кол алышуу, эки жолу жооп катары PSH/ACK жана ACK - бул кардар менен сервердин ортосунда суроо-талап жана жооп алмашуу, ал эми FIN/ACK жана ACK эки жолу - байланышты аяктоо.
Пакет кечигүү
Эми кечиктирүүнү 500 миллисекундга коёлу:
tc qdisc add dev lo root netem delay 500ms
Биз кардарды ишке киргизип, скрипт азыр 2 секунд иштеп жатканын көрөбүз:
[user@host ~]# ./client.py
[time before connection: 1578662612.71044]
[time after connection, before sending: 1578662613.71059]
[time after sending, before receiving: 1578662613.71065]
[time after receiving, before closing: 1578662614.72011]
[time after closing: 1578662614.72019]
[total duration: 2.00974]
Response: Test
Трафикте эмне бар? Кел карайбыз:
Трафик таштандысы
13:23:33.210520 IP 127.0.0.1.58694 > 127.0.0.1.12345: Flags [S], seq 1720950927, win 43690, options [mss 65495,sackOK,TS val 615958947 ecr 0,nop,wscale 7], length 0
13:23:33.710554 IP 127.0.0.1.12345 > 127.0.0.1.58694: Flags [S.], seq 1801168125, ack 1720950928, win 43690, options [mss 65495,sackOK,TS val 615959447 ecr 615958947,nop,wscale 7], length 0
13:23:34.210590 IP 127.0.0.1.58694 > 127.0.0.1.12345: Flags [.], ack 1, win 342, options [nop,nop,TS val 615959947 ecr 615959447], length 0
13:23:34.210657 IP 127.0.0.1.58694 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 615959947 ecr 615959447], length 5
13:23:34.710680 IP 127.0.0.1.12345 > 127.0.0.1.58694: Flags [.], ack 6, win 342, options [nop,nop,TS val 615960447 ecr 615959947], length 0
13:23:34.719371 IP 127.0.0.1.12345 > 127.0.0.1.58694: Flags [P.], seq 1:15, ack 6, win 342, options [nop,nop,TS val 615960456 ecr 615959947], length 14
13:23:35.220106 IP 127.0.0.1.58694 > 127.0.0.1.12345: Flags [.], ack 15, win 342, options [nop,nop,TS val 615960957 ecr 615960456], length 0
13:23:35.220188 IP 127.0.0.1.58694 > 127.0.0.1.12345: Flags [F.], seq 6, ack 15, win 342, options [nop,nop,TS val 615960957 ecr 615960456], length 0
13:23:35.720994 IP 127.0.0.1.12345 > 127.0.0.1.58694: Flags [F.], seq 15, ack 7, win 342, options [nop,nop,TS val 615961457 ecr 615960957], length 0
13:23:36.221025 IP 127.0.0.1.58694 > 127.0.0.1.12345: Flags [.], ack 16, win 342, options [nop,nop,TS val 615961957 ecr 615961457], length 0
Кардар менен сервердин ортосундагы өз ара аракеттенүүдө күтүлгөн жарым секундалык артта калуу пайда болгонун көрө аласыз. Эгерде артта калуу чоңураак болсо, система өзүн алда канча кызыктуураак аткарат: ядро кээ бир TCP пакеттерин кайра жөнөтө баштайт. Келгиле, кечиктирүүнү 1 секундга өзгөртүп, трафикти карап көрөлү (мен кардардын жыйынтыгын көрсөтпөйм, жалпы узактыкта күтүлгөн 4 секунд бар):
tc qdisc change dev lo root netem delay 1s
Трафик таштандысы
13:29:07.709981 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [S], seq 283338334, win 43690, options [mss 65495,sackOK,TS val 616292946 ecr 0,nop,wscale 7], length 0
13:29:08.710018 IP 127.0.0.1.12345 > 127.0.0.1.39306: Flags [S.], seq 3514208179, ack 283338335, win 43690, options [mss 65495,sackOK,TS val 616293946 ecr 616292946,nop,wscale 7], length 0
13:29:08.711094 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [S], seq 283338334, win 43690, options [mss 65495,sackOK,TS val 616293948 ecr 0,nop,wscale 7], length 0
13:29:09.710048 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [.], ack 1, win 342, options [nop,nop,TS val 616294946 ecr 616293946], length 0
13:29:09.710152 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 616294947 ecr 616293946], length 5
13:29:09.711120 IP 127.0.0.1.12345 > 127.0.0.1.39306: Flags [S.], seq 3514208179, ack 283338335, win 43690, options [mss 65495,sackOK,TS val 616294948 ecr 616292946,nop,wscale 7], length 0
13:29:10.710173 IP 127.0.0.1.12345 > 127.0.0.1.39306: Flags [.], ack 6, win 342, options [nop,nop,TS val 616295947 ecr 616294947], length 0
13:29:10.711140 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [.], ack 1, win 342, options [nop,nop,TS val 616295948 ecr 616293946], length 0
13:29:10.714782 IP 127.0.0.1.12345 > 127.0.0.1.39306: Flags [P.], seq 1:15, ack 6, win 342, options [nop,nop,TS val 616295951 ecr 616294947], length 14
13:29:11.714819 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [.], ack 15, win 342, options [nop,nop,TS val 616296951 ecr 616295951], length 0
13:29:11.714893 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [F.], seq 6, ack 15, win 342, options [nop,nop,TS val 616296951 ecr 616295951], length 0
13:29:12.715562 IP 127.0.0.1.12345 > 127.0.0.1.39306: Flags [F.], seq 15, ack 7, win 342, options [nop,nop,TS val 616297952 ecr 616296951], length 0
13:29:13.715596 IP 127.0.0.1.39306 > 127.0.0.1.12345: Flags [.], ack 16, win 342, options [nop,nop,TS val 616298952 ecr 616297952], length 0
Кардар SYN пакетин эки жолу, ал эми сервер эки жолу SYN/ACK жөнөткөнүн көрүүгө болот.
Туруктуу мааниден тышкары, кечиктирүү четтөө, бөлүштүрүү функциясы жана корреляция (мурунку пакеттин мааниси менен) коюлушу мүмкүн. Бул төмөнкүдөй жүзөгө ашырылат:
tc qdisc change dev lo root netem delay 500ms 400ms 50 distribution normal
Бул жерде биз кечиктирүүнү 100 жана 900 миллисекундга койдук, маанилер нормалдуу бөлүштүрүүгө ылайык тандалып алынат жана мурунку пакеттин кечигүү мааниси менен 50% корреляция болот.
Сиз биринчи мен колдонгон буйрукту байкаган чыгарсыз кошууандан кийин өзгөртүү. Бул буйруктардын мааниси айкын, ошондуктан мен дагы бар экенин кошумчалайм жана, ал конфигурацияны алып салуу үчүн колдонулушу мүмкүн.
Пакет жоготуу
Эми пакетти жоготууга аракет кылалы. Документтен көрүнүп тургандай, муну үч жол менен жасоого болот: кандайдыр бир ыктымалдуулук менен пакеттерди туш келди жоготуу, пакет жоготууларын эсептөө үчүн 2, 3 же 4 абалдан турган Марков чынжырын колдонуу же Эллиотт-Гилберт моделин колдонуу. Макалада мен биринчи (эң жөнөкөй жана айкын) ыкмасын карап чыгам, жана башкалар жөнүндө окуй аласыз .
50% корреляция менен пакеттердин 25% жоготуусун жасайлы:
tc qdisc add dev lo root netem loss 50% 25%
Тилекке каршы, tcpdump пакеттердин жоголушун так көрсөтө албайт, биз ал чындап эле иштейт деп ойлойбуз. Ал эми сценарийдин көбөйгөн жана туруксуз иштөө убактысы бизге муну текшерүүгө жардам берет. client.py (дар замат, же балким 20 секунданын ичинде бүтүрүлүшү мүмкүн), ошондой эле кайра жөнөтүлгөн пакеттердин көбөйгөн саны:
[user@host ~]# netstat -s | grep retransmited; sleep 10; netstat -s | grep retransmited
17147 segments retransmited
17185 segments retransmited
Пакеттерге ызы-чуу кошуу
Пакетти жоготуудан тышкары, сиз пакеттин бузулушун симуляциялай аласыз: ызы-чуу пакеттин кокустук абалында пайда болот. Келгиле, 50% ыктымалдык менен жана корреляциясыз пакет зыянын жасайлы:
tc qdisc change dev lo root netem corrupt 50%
Биз кардар скриптин иштетебиз (ал жерде эч кандай кызыктуу эч нерсе жок, бирок бүтүрүү үчүн 2 секунд кетти), трафикти караңыз:
Трафик таштандысы
[user@host ~]# tcpdump -i lo -nn port 12345
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
10:20:54.812434 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [S], seq 2023663770, win 43690, options [mss 65495,sackOK,TS val 1037001049 ecr 0,nop,wscale 7], length 0
10:20:54.812449 IP 127.0.0.1.12345 > 127.0.0.1.43666: Flags [S.], seq 2104268044, ack 2023663771, win 43690, options [mss 65495,sackOK,TS val 1037001049 ecr 1037001049,nop,wscale 7], length 0
10:20:54.812458 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [.], ack 1, win 342, options [nop,nop,TS val 1037001049 ecr 1037001049], length 0
10:20:54.812509 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 1037001049 ecr 1037001049], length 5
10:20:55.013093 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 1037001250 ecr 1037001049], length 5
10:20:55.013122 IP 127.0.0.1.12345 > 127.0.0.1.43666: Flags [.], ack 6, win 342, options [nop,nop,TS val 1037001250 ecr 1037001250], length 0
10:20:55.014681 IP 127.0.0.1.12345 > 127.0.0.1.43666: Flags [P.], seq 1:15, ack 6, win 342, options [nop,nop,TS val 1037001251 ecr 1037001250], length 14
10:20:55.014745 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [.], ack 15, win 340, options [nop,nop,TS val 1037001251 ecr 1037001251], length 0
10:20:55.014823 IP 127.0.0.1.43666 > 127.0.0.5.12345: Flags [F.], seq 2023663776, ack 2104268059, win 342, options [nop,nop,TS val 1037001251 ecr 1037001251], length 0
10:20:55.214088 IP 127.0.0.1.12345 > 127.0.0.1.43666: Flags [P.], seq 1:15, ack 6, win 342, options [nop,unknown-65 0x0a3dcf62eb3d,[bad opt]>
10:20:55.416087 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [F.], seq 6, ack 15, win 342, options [nop,nop,TS val 1037001653 ecr 1037001251], length 0
10:20:55.416804 IP 127.0.0.1.12345 > 127.0.0.1.43666: Flags [F.], seq 15, ack 7, win 342, options [nop,nop,TS val 1037001653 ecr 1037001653], length 0
10:20:55.416818 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [.], ack 16, win 343, options [nop,nop,TS val 1037001653 ecr 1037001653], length 0
10:20:56.147086 IP 127.0.0.1.12345 > 127.0.0.1.43666: Flags [F.], seq 15, ack 7, win 342, options [nop,nop,TS val 1037002384 ecr 1037001653], length 0
10:20:56.147101 IP 127.0.0.1.43666 > 127.0.0.1.12345: Flags [.], ack 16, win 342, options [nop,nop,TS val 1037002384 ecr 1037001653], length 0
Кээ бир пакеттер кайра-кайра жөнөтүлгөнүн жана метадайындары бузулган бир пакет бар экенин көрүүгө болот: опциялар [жок, белгисиз-65 0x0a3dcf62eb3d, [жаман opt]>. Бирок, эң негизгиси, акыры баары туура иштеген - TCP өзүнүн тапшырмасын аткарды.
Пакеттин кайталанышы
Дагы эмне кылса болот netem? Мисалы, пакетти жоготуунун тескери кырдаалын окшоштуруңуз — пакеттердин кайталанышы. Бул буйрук дагы 2 аргумент алат: ыктымалдуулук жана корреляция.
tc qdisc change dev lo root netem duplicate 50% 25%
Пакеттердин тартибин өзгөртүү
Сиз баштыктарды эки жол менен аралаштырсаңыз болот.
Биринчисинде, кээ бир пакеттер дароо жөнөтүлөт, калгандары белгиленген кечигүү менен. Документтен мисал:
tc qdisc change dev lo root netem delay 10ms reorder 25% 50%
Ыктымалдуулук 25% (жана 50% корреляция) менен пакет дароо жөнөтүлөт, калганы 10 миллисекунддук кечигүү менен жөнөтүлөт.
Экинчи ыкма, ар бир N-пакет берилген ыктымалдуулук (жана корреляция) менен заматта, ал эми калгандары берилген кечигүү менен жөнөтүлөт. Документтен мисал:
tc qdisc change dev lo root netem delay 10ms reorder 25% 50% gap 5
Ар бир бешинчи пакетте 25% кечиктирбестен жөнөтүү мүмкүнчүлүгү бар.
Өткөрүү жөндөмдүүлүгүн өзгөртүү
Адатта, алар бардык жерде кайрылышат , бирок жардамы менен netem Сиз ошондой эле интерфейс өткөрүү жөндөмдүүлүгүн өзгөртө аласыз:
tc qdisc change dev lo root netem rate 56kbit
Бул команда тегерек-четтерди жасайт көрүү .xrf диал-ап модем аркылуу Интернетте серфинг сыяктуу азаптуу. Бит ылдамдыгын орнотуудан тышкары, сиз шилтеме катмарынын протоколунун моделин эмуляциялай аласыз: пакет үчүн кошумча чыгымды, уячанын өлчөмүн жана уяча үчүн кошумча чыгымды коюңуз. Мисалы, бул окшоштурса болот жана бит ылдамдыгы 56 кбит/сек:
tc qdisc change dev lo root netem rate 56kbit 0 48 5
Туташуу күтүү убакыты симуляциялоо
Программаны кабыл алууда сыноо планынын дагы бир маанилүү учуру - бул күтүү убактысы. Бул маанилүү, анткени бөлүштүрүлгөн тутумдарда кызматтардын бири өчүрүлгөндө, башкалары өз убагында башкаларына кайтып келиши керек же кардарга катаны кайтарып бериши керек жана эч кандай учурда алар жоопту же байланышты күтүп туруп, илип турбашы керек. түзүлүүгө тийиш.
Муну жасоонун бир нече жолдору бар: мисалы, жооп бербеген шылдыңды колдонуңуз же мүчүлүштүктөрдү оңдоочу аркылуу процесске туташып, үзгүлтүккө учуроо чекин туура жерге коюп, процессти токтотуңуз (бул эң бузуку жол болсо керек). Бирок эң айкын болгондордун бири - брандмауэр порттору же хосттору. Бул бизге жардам берет .
Демонстрациялоо үчүн, биз 12345 портун брандмауэр кылып, кардар скриптибизди иштетебиз. Сиз бул портко чыгуучу пакеттерди жөнөтүүчүдө же кирүүчү пакеттерди кабыл алуучудан брандмауэр кыла аласыз. Менин мисалдарымда, кирүүчү пакеттер брандмауэр менен корголот (биз INPUT чынжырын жана опцияны колдонобуз --dport). Мындай пакеттер RST TCP желеги менен же ICMP хосту менен жетүү мүмкүн эмес (чындыгында демейки жүрүм-турум icmp-порту жеткиликсиз, жана жооп жөнөтүү мүмкүнчүлүгү да бар icmp-net-жетүү мүмкүн эмес, icmp-proto-жетишсиз, icmp-net-тыюу салынган и icmp-хостко тыюу салынган).
DROP
DROP эрежеси бар болсо, пакеттер жөн эле "жок болот".
iptables -A INPUT -p tcp --dport 12345 -j DROP
Биз кардарды ишке киргизебиз жана анын серверге туташуу стадиясында катып калганын көрөбүз. Келгиле, жол кыймылын карап көрөлү:
Трафик таштандысы
[user@host ~]# tcpdump -i lo -nn port 12345
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
08:28:20.213506 IP 127.0.0.1.32856 > 127.0.0.1.12345: Flags [S], seq 3019694933, win 43690, options [mss 65495,sackOK,TS val 1203046450 ecr 0,nop,wscale 7], length 0
08:28:21.215086 IP 127.0.0.1.32856 > 127.0.0.1.12345: Flags [S], seq 3019694933, win 43690, options [mss 65495,sackOK,TS val 1203047452 ecr 0,nop,wscale 7], length 0
08:28:23.219092 IP 127.0.0.1.32856 > 127.0.0.1.12345: Flags [S], seq 3019694933, win 43690, options [mss 65495,sackOK,TS val 1203049456 ecr 0,nop,wscale 7], length 0
08:28:27.227087 IP 127.0.0.1.32856 > 127.0.0.1.12345: Flags [S], seq 3019694933, win 43690, options [mss 65495,sackOK,TS val 1203053464 ecr 0,nop,wscale 7], length 0
08:28:35.235102 IP 127.0.0.1.32856 > 127.0.0.1.12345: Flags [S], seq 3019694933, win 43690, options [mss 65495,sackOK,TS val 1203061472 ecr 0,nop,wscale 7], length 0
Кардар SYN пакеттерин экспоненциалдуу түрдө көбөйгөн тайм-аут менен жөнөтөрүн көрүүгө болот. Ошентип, биз кардар кичинекей мүчүлүштүктөрдү таптык: ыкманы колдонуу керек settimeout()кардар серверге туташууга аракет кылган убакытты чектөө үчүн.
Биз дароо эрежени алып салабыз:
iptables -D INPUT -p tcp --dport 12345 -j DROPСиз бир эле учурда бардык эрежелерди өчүрө аласыз:
iptables -F
Эгер сиз Dockerди колдонуп жатсаңыз жана контейнерге бара турган бардык трафикти брандмауэр менен жабуу керек болсо, анда муну төмөнкүдөй кылсаңыз болот:
iptables -I DOCKER-USER -p tcp -d CONTAINER_IP -j DROP
ЧЕТКЕ
Эми окшош эрежени кошолу, бирок REJECT менен:
iptables -A INPUT -p tcp --dport 12345 -j REJECT
Кардар бир секунддан кийин ката менен чыгат [Erno 111] Туташуу четке кагылды. ICMP трафикти карап көрөлү:
[user@host ~]# tcpdump -i lo -nn icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
08:45:32.871414 IP 127.0.0.1 > 127.0.0.1: ICMP 127.0.0.1 tcp port 12345 unreachable, length 68
08:45:33.873097 IP 127.0.0.1 > 127.0.0.1: ICMP 127.0.0.1 tcp port 12345 unreachable, length 68
Бул кардар эки жолу алганын көрүүгө болот порт жеткиликсиз анан ката менен аяктады.
tcp-reset менен ЧЕТ АЛУУ
Келгиле, вариантты кошууга аракет кылалы --reject-ile tcp-reset:
iptables -A INPUT -p tcp --dport 12345 -j REJECT --reject-with tcp-reset
Бул учурда, кардар дароо ката менен чыгат, анткени биринчи сурам RST пакетин алган:
[user@host ~]# tcpdump -i lo -nn port 12345
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
09:02:52.766175 IP 127.0.0.1.60658 > 127.0.0.1.12345: Flags [S], seq 1889460883, win 43690, options [mss 65495,sackOK,TS val 1205119003 ecr 0,nop,wscale 7], length 0
09:02:52.766184 IP 127.0.0.1.12345 > 127.0.0.1.60658: Flags [R.], seq 0, ack 1889460884, win 0, length 0
icmp-host-unreachable менен ЧЕТ АЛУУ
REJECT колдонуу үчүн дагы бир вариантты колдонуп көрөлү:
iptables -A INPUT -p tcp --dport 12345 -j REJECT --reject-with icmp-host-unreachable
Кардар бир секунддан кийин ката менен чыгат [Erno 113] Хост үчүн маршрут жок, биз ICMP трафигинде көрөбүз ICMP хост 127.0.0.1 жеткиликсиз.
Сиз башка REJECT параметрлерин да сынап көрүңүз, мен буларга басым жасайм :)
Сурамдын таймооту окшоштурулуп жатат
Дагы бир жагдай - кардар серверге туташып, бирок ага суроо-талап жөнөтө албайт. Чыпкалоо дароо башталбашы үчүн пакеттерди кантип чыпкалоо керек? Эгерде сиз кардар менен сервердин ортосундагы ар кандай байланыштын трафигин карасаңыз, байланышты орнотууда SYN жана ACK желектери гана колдонуларын, ал эми маалымат алмашууда акыркы суроо-талап пакетинде PSH желеги камтыларын байкайсыз. Буферлөөдөн качуу үчүн ал автоматтык түрдө орнотулат. Сиз бул маалыматты чыпка түзүү үчүн колдоно аласыз: ал PSH желегин камтыган пакеттерден башка бардык пакеттерге уруксат берет. Ошентип, байланыш түзүлөт, бирок кардар серверге маалыматтарды жөнөтө албайт.
DROP
DROP үчүн буйрук төмөнкүдөй болот:
iptables -A INPUT -p tcp --tcp-flags PSH PSH --dport 12345 -j DROP
Кардарды ишке киргизиңиз жана трафикти көрүңүз:
Трафик таштандысы
[user@host ~]# tcpdump -i lo -nn port 12345
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
10:02:47.549498 IP 127.0.0.1.49594 > 127.0.0.1.12345: Flags [S], seq 2166014137, win 43690, options [mss 65495,sackOK,TS val 1208713786 ecr 0,nop,wscale 7], length 0
10:02:47.549510 IP 127.0.0.1.12345 > 127.0.0.1.49594: Flags [S.], seq 2341799088, ack 2166014138, win 43690, options [mss 65495,sackOK,TS val 1208713786 ecr 1208713786,nop,wscale 7], length 0
10:02:47.549520 IP 127.0.0.1.49594 > 127.0.0.1.12345: Flags [.], ack 1, win 342, options [nop,nop,TS val 1208713786 ecr 1208713786], length 0
10:02:47.549568 IP 127.0.0.1.49594 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 1208713786 ecr 1208713786], length 5
10:02:47.750084 IP 127.0.0.1.49594 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 1208713987 ecr 1208713786], length 5
10:02:47.951088 IP 127.0.0.1.49594 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 1208714188 ecr 1208713786], length 5
10:02:48.354089 IP 127.0.0.1.49594 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 1208714591 ecr 1208713786], length 5
Байланыш орнотулганын жана кардар серверге маалыматтарды жөнөтө албай турганын көрөбүз.
ЧЕТКЕ
Бул учурда жүрүм-турум бирдей болот: кардар суроо-талапты жөнөтө албайт, бирок кабыл алат ICMP 127.0.0.1 tcp порт 12345 жеткиликсиз жана суроо-талаптарды кайра тапшыруулардын ортосундагы убакытты экспоненциалдуу түрдө көбөйтүү. Буйрук мындай көрүнөт:
iptables -A INPUT -p tcp --tcp-flags PSH PSH --dport 12345 -j REJECT
tcp-reset менен ЧЕТ АЛУУ
Буйрук мындай көрүнөт:
iptables -A INPUT -p tcp --tcp-flags PSH PSH --dport 12345 -j REJECT --reject-with tcp-reset
Биз буга чейин колдонуп жатканда билебиз --reject-ile tcp-reset кардар жооп катары RST пакетин алат, ошондуктан жүрүм-турумун алдын ала айтууга болот: туташуу орнотулуп жатканда RST пакетин алуу розетка күтүлбөгөн жерден экинчи тарапта жабылып калганын билдирет, бул кардар кабыл алышы керек дегенди билдирет. Туташуу теңдеш тарабынан баштапкы абалга келтирилди. Келгиле, скриптибизди иштетип, буга ынаналы. Жана бул жол кыймылы кандай болот:
Трафик таштандысы
[user@host ~]# tcpdump -i lo -nn port 12345
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
10:22:14.186269 IP 127.0.0.1.52536 > 127.0.0.1.12345: Flags [S], seq 2615137531, win 43690, options [mss 65495,sackOK,TS val 1209880423 ecr 0,nop,wscale 7], length 0
10:22:14.186284 IP 127.0.0.1.12345 > 127.0.0.1.52536: Flags [S.], seq 3999904809, ack 2615137532, win 43690, options [mss 65495,sackOK,TS val 1209880423 ecr 1209880423,nop,wscale 7], length 0
10:22:14.186293 IP 127.0.0.1.52536 > 127.0.0.1.12345: Flags [.], ack 1, win 342, options [nop,nop,TS val 1209880423 ecr 1209880423], length 0
10:22:14.186338 IP 127.0.0.1.52536 > 127.0.0.1.12345: Flags [P.], seq 1:6, ack 1, win 342, options [nop,nop,TS val 1209880423 ecr 1209880423], length 5
10:22:14.186344 IP 127.0.0.1.12345 > 127.0.0.1.52536: Flags [R], seq 3999904810, win 0, length 0
icmp-host-unreachable менен ЧЕТ АЛУУ
Менин оюмча, буйрук кандай болоору баарына ачык эле көрүнүп турат :) Бул учурда кардардын жүрүм-туруму жөнөкөй ЖЕТКЕНдегиден бир аз башкача болот: кардар пакетти кайра жөнөтүү аракетинин ортосундагы убакытты көбөйтпөйт.
[user@host ~]# tcpdump -i lo -nn icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on lo, link-type EN10MB (Ethernet), capture size 262144 bytes
10:29:56.149202 IP 127.0.0.1 > 127.0.0.1: ICMP host 127.0.0.1 unreachable, length 65
10:29:56.349107 IP 127.0.0.1 > 127.0.0.1: ICMP host 127.0.0.1 unreachable, length 65
10:29:56.549117 IP 127.0.0.1 > 127.0.0.1: ICMP host 127.0.0.1 unreachable, length 65
10:29:56.750125 IP 127.0.0.1 > 127.0.0.1: ICMP host 127.0.0.1 unreachable, length 65
10:29:56.951130 IP 127.0.0.1 > 127.0.0.1: ICMP host 127.0.0.1 unreachable, length 65
10:29:57.152107 IP 127.0.0.1 > 127.0.0.1: ICMP host 127.0.0.1 unreachable, length 65
10:29:57.353115 IP 127.0.0.1 > 127.0.0.1: ICMP host 127.0.0.1 unreachable, length 65
жыйынтыктоо
Кызматтын асылып калган кардар же сервер менен өз ара аракеттенүүсүн текшерүү үчүн шылдың жазуунун кереги жок, кээде Linux'та табылган стандарттуу утилиталарды колдонуу жетиштүү.
Макалада талкууланган утилиталар сүрөттөлгөндөн да көбүрөөк мүмкүнчүлүктөргө ээ, ошондуктан сиз аларды колдонуу үчүн өзүңүздүн айрым варианттарыңызды ойлоп таба аласыз. Жеке мен жазгандарым дайыма жетиштүү (чынында, андан да аз). Эгерде сиз ушул же ушуга окшош утилиталарды өзүңүздүн компанияңызда тестирлөөдө колдонсоңуз, кантип так жазыңыз. Болбосо, анда сиз сунуш кылынган ыкмаларды колдонуу менен тармак көйгөйлөрүнүн шарттарында сынап көрүүнү чечсеңиз, программаңыз жакшыраак болот деп ишенем.
Source: www.habr.com