Joinc Wiki: TCP/IP 관리 툴

Facebook Joinc 그룹 Joinc QA 사이트

현재위치 : 미니사이트>QoS>Standard_Tool>TCP_IP

joinc는 Firefox와 chrome에서 테스트 했습니다. IE에서는 테이블이 깨지거나 이미지가 보이지 않을 수 있습니다. 특히 구글 Docs이미지의 경우 엑박처리될 수 있습니다.

TCP/IP 소개

지금의 인터넷이 있게한 프로토콜이다. 이들에 대한 자세한 내용은 TCP/IP 미니사이트 문서를 읽어보기 바란다.

이 문서는 유닉스 환경에서 TCP/IP를 관리하기 위해서 중요하게 사용되는 툴들을 설명한다.

netstat

네트워크 연결상태를 알려준다. 이 프로그램을 통해서 알 수 있는 정보는 다음과 같다.

네트워크 연결 상태
유닉스 도메인 소켓 연결 상태
네트워크연결에 사용된 프로세스 - 리눅스 에서만 가능 -

netstat를 통해서 얻을 수 있는 가장 중요한 정보는 1번이 될 것이다. netstat를 사용하면 현재 네트워크에 연결이 되어있는 상태뿐만 아니라, TIME_WAIT와 SYN_RECV 상태까지도 얻어올 수 있다.

TIME_WAIT를 이해하기 위해서는 소켓 종료 상태에 대해서 알고 있어야 한다. 소켓이 연결을 종료하는 과정에서 마지막 ACK 신호를 보내지 못하는 경우가 있다. 이 경우 ACK를 재전송하기 위해서 기다리는데, 이를 TIME_WAIT 상태라고 한다. 이것은 2MSL(maximum segment life time)이라고 불리운다.

서버에서 데이터를 모두 다 보내면 연결을 닫기 위해서 close() 함수를 호출하게 된다. 그러면 서버는 ACK신호를 보내고 TIME_WAIT 상태에 들어간다. 이 상태에서 클라이언트로 부터 ACK에 대한 응답을 받아야지만 TIME_WAIT 상태에서 벗어나고, 연결이 완전히 종료 된다. 만약 상대편 클라이언트가 ACK에 대한 응답을 보내지 않고 종료되어 버렸다면, 서버는 2MSL 시간만큼을 기다리게 된다.

TIME_WAIT는 하는 일은 없지만, 클라이언트로 부터의 종료메시지를 기다리는 상태가 되므로 자원을 낭비하는 셈이 된다. 만약 TIME_WAIT 상태가 지나치게 많아지게 된다면, 그만큼의 연결을 유지해야 하므로 서비스에 문제가 생길 수 있게 된다.

만약 다수의 SYN_RECV 가 있다면, DOS 공격을 의심할 수 있을 것이다. SYN_RECV는 클라이언트가 마지막 3번째 패킷을 서버에게 보내지 않음으로써, 연결이 완전히 이루어지지 않은 상태임을 의미한다. 반쪽자리 연결이라고 볼 수 있는데, 이러한 연결을 다수 생성해서 서비스가 거부되도록 공격하는 경우가 종종 발생한다. 일반적으로 three way handshake 는 0.01 sec 안에 끝나므로, netstat 를 실행시킨 시점에서 1개 이상을 발견하기가 쉽지 않다.

# netstat -na : grep 80 
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN 
tcp        0      0 218.234.19.87:80        122.152.181.156:11962   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.156:47119   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.156:3429    SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.156:8208    SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.156:59406   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.155:40277   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.155:35498   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.156:29028   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.156:55652   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.156:42340   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.156:16741   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.155:26965   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.156:33807   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.156:50873   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.156:38586   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.156:25274   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.155:48810   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.155:1366    SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.155:9899    SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.156:64185   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.155:18432   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.155:31744   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.156:20495   SYN_RECV 
tcp        0      0 218.234.19.87:80        122.152.181.155:57343   SYN_RECV 
tcp      567      0 218.234.19.87:36126     121.185.96.43:80        CLOSE_WAIT 
tcp        0      0 218.234.19.87:22        222.119.23.60:2801      ESTABLISHED 
tcp        0      0 218.234.19.87:37489     121.185.96.48:80        ESTABLISHED 
tcp        0      0 218.234.19.87:80        222.231.42.193:34267    TIME_WAIT 
tcp        0      0 218.234.19.87:80        66.249.73.50:63782      ESTABLISHED 
tcp        0      0 218.234.19.87:80        210.116.196.225:39776   FIN_WAIT2 
tcp        0      0 218.234.19.87:80        74.6.27.107:44671       TIME_WAIT 
tcp        0  18981 218.234.19.87:80        141.85.90.195:2982      FIN_WAIT1

이 서버는 SYN_RECV 상태의 연결이 지나치게 많다. DOS공격이 의심되는 상황이다.

뇌자극 QA 뇌자극 에러 및 수정목록 총 페이지 수 : 3224 전체 함수/용어사전 구글검색방법 구글 맞춤검색	Facebook Joinc 그룹 Joinc QA 사이트 현재위치 : 미니사이트>QoS>Standard_Tool>TCP_IP Tweet joinc는 Firefox와 chrome에서 테스트 했습니다. IE에서는 테이블이 깨지거나 이미지가 보이지 않을 수 있습니다. 특히 구글 Docs이미지의 경우 엑박처리될 수 있습니다. TCP/IP 소개 지금의 인터넷이 있게한 프로토콜이다. 이들에 대한 자세한 내용은 TCP/IP 미니사이트 문서를 읽어보기 바란다. 이 문서는 유닉스 환경에서 TCP/IP를 관리하기 위해서 중요하게 사용되는 툴들을 설명한다. netstat 네트워크 연결상태를 알려준다. 이 프로그램을 통해서 알 수 있는 정보는 다음과 같다. 네트워크 연결 상태 유닉스 도메인 소켓 연결 상태 네트워크연결에 사용된 프로세스 - 리눅스 에서만 가능 - netstat를 통해서 얻을 수 있는 가장 중요한 정보는 1번이 될 것이다. netstat를 사용하면 현재 네트워크에 연결이 되어있는 상태뿐만 아니라, TIME_WAIT와 SYN_RECV 상태까지도 얻어올 수 있다. TIME_WAIT를 이해하기 위해서는 소켓 종료 상태에 대해서 알고 있어야 한다. 소켓이 연결을 종료하는 과정에서 마지막 ACK 신호를 보내지 못하는 경우가 있다. 이 경우 ACK를 재전송하기 위해서 기다리는데, 이를 TIME_WAIT 상태라고 한다. 이것은 2MSL(maximum segment life time)이라고 불리운다. 서버에서 데이터를 모두 다 보내면 연결을 닫기 위해서 close() 함수를 호출하게 된다. 그러면 서버는 ACK신호를 보내고 TIME_WAIT 상태에 들어간다. 이 상태에서 클라이언트로 부터 ACK에 대한 응답을 받아야지만 TIME_WAIT 상태에서 벗어나고, 연결이 완전히 종료 된다. 만약 상대편 클라이언트가 ACK에 대한 응답을 보내지 않고 종료되어 버렸다면, 서버는 2MSL 시간만큼을 기다리게 된다. TIME_WAIT는 하는 일은 없지만, 클라이언트로 부터의 종료메시지를 기다리는 상태가 되므로 자원을 낭비하는 셈이 된다. 만약 TIME_WAIT 상태가 지나치게 많아지게 된다면, 그만큼의 연결을 유지해야 하므로 서비스에 문제가 생길 수 있게 된다. 만약 다수의 SYN_RECV 가 있다면, DOS 공격을 의심할 수 있을 것이다. SYN_RECV는 클라이언트가 마지막 3번째 패킷을 서버에게 보내지 않음으로써, 연결이 완전히 이루어지지 않은 상태임을 의미한다. 반쪽자리 연결이라고 볼 수 있는데, 이러한 연결을 다수 생성해서 서비스가 거부되도록 공격하는 경우가 종종 발생한다. 일반적으로 three way handshake 는 0.01 sec 안에 끝나므로, netstat 를 실행시킨 시점에서 1개 이상을 발견하기가 쉽지 않다. # netstat -na : grep 80 tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN tcp 0 0 218.234.19.87:80 122.152.181.156:11962 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.156:47119 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.156:3429 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.156:8208 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.156:59406 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.155:40277 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.155:35498 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.156:29028 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.156:55652 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.156:42340 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.156:16741 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.155:26965 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.156:33807 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.156:50873 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.156:38586 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.156:25274 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.155:48810 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.155:1366 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.155:9899 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.156:64185 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.155:18432 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.155:31744 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.156:20495 SYN_RECV tcp 0 0 218.234.19.87:80 122.152.181.155:57343 SYN_RECV tcp 567 0 218.234.19.87:36126 121.185.96.43:80 CLOSE_WAIT tcp 0 0 218.234.19.87:22 222.119.23.60:2801 ESTABLISHED tcp 0 0 218.234.19.87:37489 121.185.96.48:80 ESTABLISHED tcp 0 0 218.234.19.87:80 222.231.42.193:34267 TIME_WAIT tcp 0 0 218.234.19.87:80 66.249.73.50:63782 ESTABLISHED tcp 0 0 218.234.19.87:80 210.116.196.225:39776 FIN_WAIT2 tcp 0 0 218.234.19.87:80 74.6.27.107:44671 TIME_WAIT tcp 0 18981 218.234.19.87:80 141.85.90.195:2982 FIN_WAIT1 이 서버는 SYN_RECV 상태의 연결이 지나치게 많다. DOS공격이 의심되는 상황이다.