A customer called the managed secur

A customer called the managed security services firm I worked for and asked why
one of his subnets was unable to reach the HTTP proxy service that was running on
the inside interface of the Linux-based firewall we managed for him. I dutifully fired
up tcpdump, an open source network diagnostic utility, and watched packets arriving
from the subnet in question. The packets didn’t look obviously malformed, and they
were also correctly addressed for the proxy service on the firewall. Usually this sort of
customer call resulted from a poorly configured automatic proxy configuration file,
but not this time.
Puzzled, I watched as the customer removed the proxy address specification on a
workstation in the affected network and was suddenly able to reach the world. This
suggested that the problem was somehow related to the firewall. In each case,
though, I would see the packets arrive on the inside interface of the firewall.
If the firewall were dropping the packets, I would have seen it in the logging. So I
watched the socket state with netstat and saw that the proxy service never received
the connection initiation segments (TCP SYN) from the problem subnet. Though I
could see the packets arriving, the IP stack seemed to be ignoring them.
After examining the packet traces at various layers using tcpdump and Wireshark,
I asked for another pair of eyes to help me. He noticed something I had overlooked.
The 10th byte of the Ethernet frame destination address on the frame bound for the
proxy service was wrong. This was the smoking gun. It meant that when packets
passed through their switch to the Internet as a whole, the frame destination address
was not mangled. But when packets passed through to the inside interface on the
firewall, the switch was corrupting the frame destination address.
Our customer’s network equipment vendor confirmed that the problem was the
electronics on one of the switch ports. Sometimes another pair of eyes is all it takes.

Kết quả (Việt) 1:

Một khách hàng được gọi là công ty dịch vụ quản lý an ninh, tôi làm việc cho và hỏi tại saomột mạng con của ông là không thể tiếp cận với dịch vụ proxy HTTP chạy trêncác bên trong giao diện của Linux dựa trên tường lửa, chúng tôi quản lý cho ông. Tôi dutifully bắnlên tcpdump, một mã nguồn mở mạng chẩn đoán tiện ích, và theo dõi các gói dữ liệu đếntừ mạng con trong câu hỏi. Các gói dữ liệu không nhìn rõ ràng là bị thay đổi, và họcũng đúng địa chỉ cho dịch vụ proxy trên các bức tường lửa. Thông thường điều này sắp xếp cáckhách hàng gọi là kết quả của một tập tin cấu hình proxy tự động cấu hình kém,nhưng thời gian không có này.Hoang mang, tôi dõi như khách hàng loại bỏ đặc điểm kỹ thuật địa chỉ proxy vào mộtCác máy trạm trong mạng bị ảnh hưởng và đột nhiên có thể đạt được trên thế giới. Điều nàyý kiến cho rằng vấn đề bằng cách nào đó có liên quan đến tường lửa. Trong mỗi trường hợp,Tuy nhiên, tôi sẽ nhìn thấy các gói tin đến bên trong giao diện của các bức tường lửa.Nếu tường lửa đã thả các gói dữ liệu, tôi nào có thấy nó trong đăng nhập. Vì vậy tôitheo dõi các ổ cắm nhà nước với netstat và thấy rằng dịch vụ ủy quyền không bao giờ nhận đượcCác kết nối khởi đoạn (TCP SYN) từ vấn đề mạng con. Mặc dù tôicó thể thấy các gói dữ liệu đến, chồng IP có vẻ là bỏ qua chúng.Sau khi kiểm tra các dấu vết gói tại các lớp bằng cách sử dụng tcpdump và Wireshark,Tôi yêu cầu cho một cặp mắt giúp tôi. Ông đã nhận thấy một cái gì đó tôi đã bỏ qua.Byte Ethernet, 10 khung địa chỉ đích trên khung bị ràng buộc cho cácDịch vụ proxy đã sai. Đây là khẩu súng hút thuốc. Nó có nghĩa rằng khi gói dữ liệutrải qua chuyển đổi của Internet như một toàn thể, địa chỉ đích của khungkhông phải đọc sai. Nhưng khi gói dữ liệu thông qua thông qua các bên trong giao diện trên cáctường lửa, chuyển đổi corrupting địa chỉ đích của khung.Nhà cung cấp thiết bị mạng của khách hàng của chúng tôi xác nhận rằng vấn đề là cácthiết bị điện tử trên một trong các cổng chuyển đổi. Đôi khi, một đôi mắt là tất cả phải mất.