Połączenie TCP

Połączenie TCP to parametr monitoringu stron internetowych, który sprawdza, czy serwer przyjmuje połączenie TCP na porcie usługi WWW: 80 dla HTTP albo 443 dla HTTPS. Pomiar kończy się jednym z trzech wyników: połączenie przyjęte, połączenie odrzucone albo brak odpowiedzi w wyznaczonym czasie. TCP (Transmission Control Protocol) jest protokołem połączeniowym, który za pomocą numerów portów wskazuje usługi aplikacyjne i rozdziela strumienie danych między hostami ^[1].

Jak działa

Połączenie TCP jest wyznaczone przez parę gniazd, czyli adresów IP z numerami portów po obu stronach ^[1]. Serwer, który czeka na klientów, utrzymuje port w stanie LISTEN, oznaczającym oczekiwanie na żądanie połączenia od dowolnego zdalnego hosta ^[1]. Połączenie powstaje w trójetapowym uzgadnianiu (ang. three-way handshake): klient wysyła segment SYN, serwer odpowiada segmentem z flagami SYN i ACK, a klient potwierdza go segmentem ACK ^[1].

Jeśli na porcie nie działa żadna aplikacja, połączenie nie istnieje, a odpowiedzią na przychodzący segment jest reset (RST) ^[1]. Według RFC 9293 próba otwarcia połączenia może zawieść na trzy sposoby: przez wyczerpanie ponownych transmisji segmentu SYN, przez otrzymanie RST albo przez komunikat ICMP Port Unreachable ^[1]. Komunikaty ICMP Destination Unreachable norma dzieli na błędy miękkie, po których TCP nie może przerwać połączenia, i twarde, po których powinien je przerwać ^[1]. Brak odpowiedzi nie jest wynikiem natychmiastowym: stos TCP ponawia SYN, a ponawianie SYN musi trwać co najmniej 3 minuty, zanim połączenie zostanie zamknięte ^[1].

RYS. 1.1Nawiązanie połączenia i odrzucenie

Sprawdzenie strony przechodzi przez kilka warstw. Przeglądarka najpierw pyta DNS o adres serwera, a dopiero potem wysyła żądanie HTTP, przesyłane przez TCP/IP ^[4]. HTTP działa ponad niezawodnym połączeniem warstwy transportowej lub sesji ^[3], a kod statusu jest częścią odpowiedzi serwera i opisuje wynik żądania ^[3]. Awaria TCP oznacza więc, że do wymiany HTTP w ogóle nie doszło. Błąd HTTP, np. kod 500, oznacza, że połączenie powstało, a serwer odpowiedział ^[3]. Przyjęte połączenie TCP nie mówi nic o poprawności certyfikatu, kodzie odpowiedzi ani treści strony.

RYS. 1.2Warstwy sprawdzenia strony

Standardy i specyfikacje

• RFC 9293 opisuje TCP: stany połączenia, trójetapowe uzgadnianie, reset i ponawianie SYN ^[1].
• Rejestr portów IANA przypisuje port 80 usłudze http, a port 443 usłudze https, opisanej jako HTTP przez TLS/SSL; oba wpisy odsyłają do RFC 9110 ^[2].
• RFC 9110 ustala, że przy braku portu w adresie domyślny dla http jest TCP 80, a dla https TCP 443, zarezerwowany dla HTTP przez TLS ^[3]. Przy połączeniu HTTPS klient musi zweryfikować tożsamość serwera, czyli sprawdzić certyfikat ^[3]. Sonda TCP kończy pracę przed tym etapem.
• RFC 9114 definiuje HTTP/3 jako odwzorowanie semantyki HTTP na protokół QUIC, udostępniany na portach UDP ^[9]. Gdy UDP jest zablokowane, klienci powinni przejść na wersje HTTP oparte na TCP ^[9]. Sonda TCP nie sprawdza więc dostępności HTTP/3.

Zagrożenia i skutki

Brak usługi na porcie. Port jest zamknięty, gdy host odpowiada, ale żadna aplikacja na nim nie nasłuchuje ^[5]. Taki obraz daje zatrzymany proces serwera WWW, na przykład po awarii albo w trakcie restartu.

Filtrowanie. Port jest filtrowany, gdy filtr pakietów nie dopuszcza sondy: może to być osobny firewall, reguły routera albo firewall na samym hoście ^[5]. Filtry częściej po cichu porzucają pakiety, niż odsyłają komunikat ICMP ^[5]. Program Fail2Ban analizuje logi i po zbyt wielu nieudanych logowaniach zmienia reguły firewalla tak, by odrzucać nowe połączenia z danego adresu IP przez ustalony czas ^[8]. Jeśli taka blokada obejmie adres sondy, strona dla zwykłych użytkowników może działać, a pomiar pokaże awarię.

Przepełnienie kolejki. Argument backlog funkcji listen określa maksymalną długość kolejki oczekujących połączeń ^[6]. Gdy kolejka jest pełna, klient może dostać błąd ECONNREFUSED albo żądanie zostanie zignorowane, a późniejsza próba może się udać ^[6].

SYN flood. Atak SYN flooding to metoda odmowy usługi, w której atakujący wysyła serię segmentów SYN, często z podszytych adresów, i zapełnia kolejkę półotwartych połączeń ^[7]. Przy pełnej kolejce kolejne SYN są ignorowane albo zastępują niedokończone połączenia, a prawidłowe żądania są odrzucane ^[7]. Zachowanie zależy od implementacji i może obejmować wysyłanie RST ^[7].

Pomiar z jednej lokalizacji. Brak odpowiedzi nie musi oznaczać awarii serwera. Nmap ponawia sondy, bo pakiet mógł zginąć z powodu przeciążenia sieci, a nie filtrowania ^[5]. Nagios Core, żeby unikać fałszywych alarmów przy przejściowych problemach, pozwala ustalić, ile razy sprawdzenie ma zostać powtórzone, zanim stan uzna się za rzeczywisty problem ^[10].

Przykłady

Wynik sondy	Co zobaczy sonda	Typowa przyczyna
Połączenie przyjęte	SYN-ACK, uzgadnianie kończy się ACK [1]	aplikacja nasłuchuje na porcie [5]
Odrzucone	segment RST [1]	serwer WWW zatrzymany, nic nie nasłuchuje [5]
Nieosiągalny	komunikat ICMP Port Unreachable lub Destination Unreachable [1]	cel nieosiągalny po drodze, filtr odsyłający błąd [1] [5]
Brak odpowiedzi	ponawiane SYN bez odpowiedzi do limitu czasu [1]	firewall porzucający pakiety, blokada IP sondy [5] [8]
Przejściowe odrzucenia lub brak odpowiedzi	ECONNREFUSED albo zignorowane SYN [6]	pełna kolejka połączeń, SYN flood [6] [7]
Przyjęte, strona nie działa	połączenie TCP poprawne, błąd w wyższej warstwie [3]	kod 5xx, błąd certyfikatu, problem z treścią [3]