TCP の SYN ACK の再送が行われるか確認する方法

前提・実現したいこと

TCP の 3 way handshake において、サーバーが SYN パケット受信し SYN + ACK を送付後、クライアントが ACK を返さなかった場合に SYN + ACK を再送しているか確認したい。
確認方法についてや、以下の "試したこと" に関してアドバイスいただけますと幸いです。

前提条件/制約

クライアントは自社環境のため、設定の確認や変更が可能。
サーバーは現時点ではアクセス許可が下りておらず、設定の確認などができない状況。(また、詳細も不明)
そのため、外部から観測した挙動のみで判断する必要がある。

試したこと１

hping3 をクライアント側で使用し、送信元 IP を別のマシンの IP に偽装。
別マシンにて、パケットをキャプチャし、SYN + ACK が送られてくるかを確認したところ、なぜか SYN + ACK のパケットが受信できず。
(正しく、送信元 IP の偽装ができてなかった？)

試したこと２

クライアント側のファイアウォール設定で、当該サーバーからの inbound 通信を DENY
その状況で hping3 で SYN パケットを送り、返された SYN + ACK パケットがファイアウォールで破棄され、複数回 SYN + ACK が送られてくることを期待。
(パケットキャプチャは NIC でパケットを取得しているため、ファイアウォールで破棄される前のパケットが取得できる認識)

結果としては、自分から張ろうとした接続のためか、ファイアウォールでパケットが破棄できず、普通に SYN + ACK → ACK を返してしまった。

補足情報（FW/ツールのバージョンなど）

サーバー: 詳細不明。
クライアント:

ubuntu 18.04
hping3 version 3.0.0-alpha-2

行動規範の内容に同意します

回答2件

iptables で「SYN なしの ACK」を送らないようにした状態で、wireshark などのパケットキャプチャで確認するといいと思います。

[root@ubuntu]# iptables -A OUTPUT -d (サーバーIPアドレス) -p tcp --tcp-flags SYN,ACK ACK -j DROP

  ※"--tcp-flags"
      第1引数(mask): SYN,ACK に着目
      第2引数(comp): SYN なし、ACK あり

投稿2021/12/07 05:50

TaichiYanagiya

総合スコア12148

tarotanaka0510

2021/12/07 15:25

ご助言いただきありがとうございます。 Linux は素人のため、こういった機能があることを初めて知りました。 iptables を軽く調べてみただけでも、細かく通信を制御でき便利そうだったので、これから活用していきたいと思います。

行動規範の内容に同意します

ベストアンサー

上手くいくかは分かりませんが、下記はどうでしょうか？

・PythonのScapyを使ってSYNパケットだけ送るプログラムを書いて実行してみる

・サーバー=クライアント間に物理ファイアウォールを挟んで、「試したこと２」と同じことをやってみる

試したこと1で実現できそうな気もしますが、スイッチ等を挟んで、パケットキャプチャして確認するのが無難かと思います。

投稿2021/12/06 14:46

takutakuya

総合スコア979

tarotanaka0510

2021/12/06 14:53

ご助言いただきありがとうございます。大変助かります。 > ・PythonのScapyを使ってSYNパケットだけ送るプログラムを書いて実行してみるこちらは時間が取れ次第やってみたいと思います。 > ・サーバー=クライアント間に物理ファイアウォールを挟んで、「試したこと２」と同じことをやってみるこちらについては、ルーターやスイッチのログ機能次第 (クライアント側でパケットをとって観測することができなくなるので) だと思うので、ルーター/スイッチ周りの仕様について調べてみたいと思います。