Vind weggevalle VPN-pakkette sonder om die inhoud daarvan vas te vang

'n Brandmuur-teller verhoog wanneer 'n pakket by 'n reël pas, en dit doen dit sonder om die pakket te hou. Dit is genoeg om die eerste vraag in die meeste ondersoeke na weggevalle pakkette te beantwoord: het die vloei hierdie reël hoegenaamd bereik. Vasvang van die vrag beantwoord 'n ander vraag, en dit versamel alles anders wat die koppelvlak oorsteek terwyl dit loop. Begin met die teller en gaan eers oor na metadata-logging wanneer die teller dubbelsinnig is.

Tellers beantwoord die eerste vraag

Elke reël wat kan pas, het 'n teller, en om dit voor en na 'n toets te lees, sê of verkeer aangekom het. Dit is 'n vergelyking van twee getalle eerder as 'n argief, en dit kos niks in berging of blootstelling nie.

Lees die tellers met die instrument wat die reëls besit:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Die delta is die bewys. 'n Reel wie se teller nie beweeg nie, het nooit die vloei gesien nie, wat op 'n vroeëre grens wys: die verkeerde koppelvlak, die verkeerde tabel, of 'n roete wat die pakket nooit daarheen gestuur het nie. 'n Reel wie se teller beweeg en steeds laat val, sê die beleid doen wat dit geskryf is om te doen.

Wat 'n teller jou nie kan sê nie

'n Teller gee jou 'n getal, nie 'n rede nie. Dit kan nie 'n pakket wat op adres gepas het van een wat op poort gepas het onderskei nie, en dit kan nie sê watter van twee soortgelyke reëls die vloei gevang het nie. Dit kan ook nie sê of die pakket laat val, verwerp of aanvaar en later verloor is nie, tensy jy die reël lees wat die teller besit.

Dis waar metadata-logging inkom, en omvang is die hele punt. Teken die koppelvlak, rigting, adresse, protokol en uitspraak vir 'n spesifieke toetsvloei aan. Daardie velde vind 'n mislukte grens sonder om te registreer wat die gebruiker doen.

Vrag-logging beantwoord 'n ander vraag, en dit beantwoord dit oor almal op die koppelvlak.

Metadata-logging met 'n nou omvang

Skryf 'n reël wat net jou toetsvloei pas, gee dit 'n kenmerkende voorvoegsel, en beperk die tempo daarvan onder die platform se eie beheer sodat 'n gewone herprobeerslag nie berging oorstroom nie. Die voorvoegsel is wat jou inskrywings tussen alles anders wat die toestel log, laat vind.

Vermy om vrag- of onbeperkte pakket-logging te aktiveer net omdat die funksie bestaan. 'n Afgekapte vasvang is ook nie outomaties vry van vrag nie, want kopgroottes en pakketuitlegte verskil, so 'n snap-lengte wat klein lyk, kan steeds toepassingsgrepe dra.

As jy moet vasvang, vang een vloei vas, vir 'n begrensde tyd, met die kleinste snap-lengte wat jou vraag beantwoord.

Pas een nuwe versoek

Genereer onskadelike verkeer wat die werklike klientroete volg, en vergelyk dan die relevante tellers voor en na. 'n Toets plaaslik op die gateway kan 'n deurstuur-reël heeltemal mis, want die pakket neem nooit die deurstuurpad nie. 'n Gevestigde sessie kan ook ander toestandhantering as 'n nuwe verbinding pas, so 'n langdurige vloei is nie 'n plaasvervanger vir 'n nuwe een nie.

Beperk die venster in tyd en skryf dit neer. Tussen twee spesifieke minute, vanaf hierdie klientadres, na hierdie bestemming op hierdie protokol is 'n diagnose. Iewers vanoggend is 'n soektog.

Een vloei, een venster, een grens is die eenheid van vordering hier.

Ruim op en hou net die uittreksel

Verwyder die tydelike diagnostiese reël deur die eienaar-konfigurasie sodra die ondersoek eindig. 'n Nou logging-reël wat bly staan, word 'n onbedoelde rekordstelsel, en niemand onthou ses maande later hoekom dit bestaan nie.

Hou oorspronklike rekords privaat wanneer beleid dit vereis, en deel 'n nagegane minimale uittreksel eerder as die hele vasvang. Adresse, rekening-identifiseerders en interne topologie is sensitief selfs wanneer geen vrag teenwoordig is nie. Behandel die uittreksel as 'n dokument met 'n eienaar. Redigeer alles wat die diagnose nie nodig het nie.

Die doel is 'n spesifieke mislukte grens vir 'n spesifieke versoek. Enigiets wat 'n volledige argief van almal wat die VPN gebruik oplewer, het die diagnose oorskry en 'n ander projek begin. Kyk in die platform se log-dokumentasie wat dit by verstek aanteken voordat jy iets daaraan toevoeg.