☰

代理服务仅对某些 IP 地址做出响应（其他 IP 地址对 SYN_RECV 很不满意）

tag-icon • tag-icon linux-networking apache2 tcpdump netstat
代理服务仅对某些 IP 地址做出响应（其他 IP 地址对 SYN_RECV 很不满意）

我有一台使用代理服务（WAF 等）的服务器，它将数据包转发到我的服务器。

我可以看到所有代理都建立了 SSL 连接netstat -an，其余的则停留在 SYN_RECV 中：

tcp        0      0 192.168.102.11:443      185.93.230.20:64966     SYN_RECV
tcp        0      0 192.168.102.11:443      192.88.135.20:8306      SYN_RECV
tcp        0      0 192.168.102.11:443      66.248.202.20:10750     SYN_RECV
tcp        0      0 192.168.102.11:443      185.93.230.20:2213      SYN_RECV
tcp        0      0 192.168.102.11:443      66.248.202.20:7494      SYN_RECV
tcp        0      0 192.168.102.11:443      185.93.231.20:32752     ESTABLISHED
tcp        0      0 192.168.102.11:443      185.93.231.20:31910     ESTABLISHED

我可以看到流量冲击tcpdump port 443 and '(tcp-syn|tcp-ack)!=0' -nn：

为了185.93.231.20.2139

20:36:35.263777 IP 192.168.102.11.443 > 185.93.231.20.2139: Flags [FP.], seq 203642186:203642217, ack 1968471817, win 258, options [nop,nop,TS val 32827456 ecr 876705214], length 31
20:36:36.901357 IP 192.168.102.11.443 > 185.93.231.20.2137: Flags [P.], seq 418165034:418165065, ack 2875697257, win 258, options [nop,nop,TS val 32829093 ecr 876704135], length 31

为了185.93.230.20

20:36:49.098560 IP 185.93.230.20.20721 > 192.168.102.11.443: Flags [S], seq 2855805773, win 29200, options [mss 1460,sackOK,TS val 882921029 ecr 0,nop,wscale 9], length 0
20:36:49.098638 IP 192.168.102.11.443 > 185.93.230.20.20721: Flags [S.], seq 268496949, ack 2855805774, win 28960, options [mss 1460,sackOK,TS val 32841290 ecr 882921029,nop,wscale 7], length 0

为了66.248.202.20：

20:37:02.042048 IP 66.248.202.20.49557 > 192.168.102.11.443: Flags [S], seq 3837436386, win 29200, options [mss 1460,sackOK,TS val 791596242 ecr 0,nop,wscale 9], length 0
20:37:02.042116 IP 192.168.102.11.443 > 66.248.202.20.49557: Flags [S.], seq 2339555392, ack 3837436387, win 28960, options [mss 1460,sackOK,TS val 32854234 ecr 791596242,nop,wscale 7], length 0

为了192.88.135.20：

20:36:39.595087 IP 185.93.228.20.23354 > 192.168.102.11.443: Flags [S], seq 1334433323, win 29200, options [mss 1460,sackOK,TS val 274977072 ecr 0,nop,wscale 9], length 0
20:36:39.595120 IP 192.168.102.11.443 > 185.93.228.20.23354: Flags [S.], seq 1203016390, ack 1334433324, win 28960, options [mss 1460,sackOK,TS val 32831787 ecr 274970056,nop,wscale 7], length

但只有来自的流量185.93.231.20才会被记录在 domlogs 中：

185.93.231.20 - - [22/May/2020:19:55:37 +0400] "GET /blog/video-gallery/ HTTP/1.1" 200 12716 "https://www.example.com/blog/publications/" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0" 747893
185.93.231.20 - - [22/May/2020:19:55:39 +0400] "GET /wp-content/uploads/2020/02/Thumbnail72.jpg HTTP/1.1" 200 181941 "https://www.example.com/blog/video-gallery/" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0" 1283052
185.93.231.20 - - [22/May/2020:19:55:39 +0400] "GET /wp-content/uploads/2020/02/Thumbnail68.jpg HTTP/1.1" 200 180934 "https://www.example.com/blog/video-gallery/" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0" 952373

下一步该检查什么？我已禁用所有防火墙规则，并确保 NAT 在 WAN 和主机（入站和出站）之间正常工作 - 没有发生任何配置更改，只是停止工作。

答案1

这是一个不对称路由问题，因为数据包可以到达服务器，但网络无法返回它们（由于路由故障）。

netstat和部分连接陷入SYN_RECV并tcpdump​旗帜正在返回：

  • [S]从远程服务器传入到我们以SYN建立连接
  • [S.]我们回复远程服务器建立SYN+ACK连接请求

SYN这是通过远程服务器发出的以下请求在服务器上识别出来的：

20:36:49.098560 IP 185.93.230.20.20721 > 192.168.102.11.443: Flags [S], seq 2855805773, win 29200, options [mss 1460,sackOK,TS val 882921029 ecr 0,nop,wscale 9], length 0

这使得套接字进入半开状态：

tcp        0      0 192.168.102.11:443      185.93.230.20:64966     SYN_RECV

然后我们做出回应（注意标志的S.含义SYN+ACK）：

20:36:49.098638 IP 192.168.102.11.443 > 185.93.230.20.20721: Flags [S.], seq 268496949, ack 2855805774, win 28960, options [mss 1460,sackOK,TS val 32841290 ecr 882921029,nop,wscale 7], length 0

但这永远不会到达远程服务器，因此它永远不会依次响应其他可以完成握手并将套接字设置为的数据包ESTABLISHED。

ISP 和相关对手方已解决此问题，以解决路由问题。

这也可能表明防火墙丢弃了数据包或 NAT 规则配置错误，这些在联系 ISP 之前就被排除了。

相关内容