العثور على حزم VPN المُسقَطة دون التقاط محتوياتها

يزداد عدّاد الجدار الناري عندما تطابق حزمة قاعدةً، ويفعل ذلك دون الاحتفاظ بالحزمة. هذا يكفي للإجابة عن السؤال الأول في معظم تحقيقات الإسقاط: هل وصل التدفق إلى هذه القاعدة أصلًا. التقاط الحمولة يجيب عن سؤال مختلف، ويجمع كل ما يعبر الواجهة بينما يعمل. ابدأ بالعدّاد، وانتقل إلى تسجيل البيانات الوصفية فقط عندما يكون العدّاد غامضًا.

العدّادات تجيب عن السؤال الأول

لكل قاعدة يمكن أن تطابق عدّاد، وقراءته قبل اختبار وبعده تخبرك هل وصلت الحركة. تلك مقارنة بين رقمين وليست أرشيفًا، ولا تكلّف شيئًا في التخزين أو التعرّض.

اقرأ العدّادات بالأداة التي تملك القواعد:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

الفرق هو الدليل. القاعدة التي لا يتحرك عدّادها لم ترَ التدفق قط، وهذا يشير إلى حدّ أبكر: الواجهة الخطأ، أو الجدول الخطأ، أو مسار لم يرسل الحزمة إلى هناك أبدًا. أما القاعدة التي يتحرك عدّادها ومع ذلك تُسقط، فتقول إن السياسة تفعل ما كُتبت لأجله.

ما لا يستطيع العدّاد إخبارك به

يعطيك العدّاد رقمًا لا سببًا. لا يستطيع التمييز بين حزمة طابقت على العنوان وأخرى طابقت على المنفذ، ولا يمكنه أن يقول أيّ قاعدتين متشابهتين أمسكت بالتدفق. كذلك لا يستطيع أن يقول هل أُسقطت الحزمة أم رُفضت أم قُبلت ثم فُقدت لاحقًا، إلا إذا قرأت القاعدة التي تملك العدّاد.

هنا يأتي دور تسجيل البيانات الوصفية، والنطاق هو كل الهدف. سجّل الواجهة والاتجاه والعناوين والبروتوكول والحكم لتدفق اختبار محدد. تلك الحقول تحدّد حدًّا فاشلًا دون تسجيل ما كان المستخدم يفعله.

تسجيل الحمولة يجيب عن سؤال مختلف، ويجيب عنه بخصوص كل من على الواجهة.

تسجيل البيانات الوصفية بنطاق ضيّق

اكتب قاعدة تطابق تدفق اختبارك فقط، وأعطها بادئة مميّزة، وحدّد معدّلها وفق ضوابط المنصة نفسها حتى لا تُغرق إعادة محاولة عادية التخزين. البادئة هي ما يتيح لك إيجاد مدخلاتك بين كل ما يسجّله الجهاز.

تجنّب تمكين تسجيل الحمولة أو الحزم غير المقيّد لمجرد وجود الميزة. الالتقاط المبتور ليس خاليًا من الحمولة تلقائيًا أيضًا، لأن أحجام الرؤوس وتخطيطات الحزم تتفاوت، فقد يحمل طول لقطة يبدو صغيرًا بايتات تطبيقية.

إن كان لا بد من الالتقاط، فالتقط تدفقًا واحدًا، لوقت محدود، بأصغر طول لقطة يجيب عن سؤالك.

طابق طلبًا جديدًا واحدًا

أنشئ حركة غير ضارة تتبع مسار العميل الفعلي، ثم قارن العدّادات ذات الصلة قبل وبعد. قد يفوّت اختبار محلي على البوابة قاعدة توجيه بالكامل، لأن الحزمة لا تسلك مسار التوجيه أبدًا. وقد تطابق جلسة قائمة معالجة حالة مختلفة عن اتصال جديد، لذا فالتدفق الطويل ليس بديلًا عن تدفق جديد.

حدّد النافذة زمنيًا واكتبها. بين دقيقتين محددتين، من عنوان العميل هذا، إلى هذه الوجهة على هذا البروتوكول، هذا تشخيص. في وقت ما هذا الصباح بحث.

تدفق واحد، نافذة واحدة، حدّ واحد هو وحدة التقدم هنا.

نظّف واحتفظ بالمقتطف فقط

أزل قاعدة التشخيص المؤقتة عبر التكوين المالك بمجرد انتهاء التحقيق. قاعدة تسجيل ضيّقة تُركت في مكانها تصبح نظام تسجيل غير مقصود، ولا أحد يتذكر لماذا وُجدت بعد ستة أشهر.

احتفظ بالسجلات الأصلية بشكل خاص عندما تتطلب السياسة ذلك، وشارك مقتطفًا أدنى مُراجعًا بدلًا من الالتقاط كله. العناوين ومعرّفات الحسابات والبنية الداخلية حساسة حتى عندما لا تكون هناك حمولة. تعامل مع المقتطف كوثيقة لها مالك. احجب كل ما لا تحتاجه التشخيصات.

الهدف حدّ فاشل محدد لطلب محدد. أي شيء ينتج أرشيفًا كاملًا لكل من يستخدم VPN قد تجاوز التشخيص وبدأ مشروعًا آخر. راجع وثائق التسجيل في المنصة لمعرفة ما تسجّله افتراضيًا قبل أن تضيف شيئًا إليها.