Открийте отхвърлени VPN пакети, без да записвате съдържанието им

Броячът на защитната стена се увеличава, когато пакет съвпадне с правило, и го прави, без да запазва пакета. Това е достатъчно, за да отговори на първия въпрос в повечето разследвания на отхвърляне: дали потокът изобщо е стигнал до това правило. Записването на полезния товар отговаря на друг въпрос и събира всичко останало, което преминава през интерфейса, докато работи. Започнете с брояча и преминете към журналиране на метаданни само когато броячът е двусмислен.

Броячите отговарят на първия въпрос

Всяко правило, което може да съвпадне, има брояч и четенето му преди и след тест показва дали трафикът е пристигнал. Това е сравнение на две числа, а не архив, и не струва нищо в съхранение или разкриване.

Четете броячите с инструмента, който притежава правилата:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Разликата е доказателството. Правило, чийто брояч не се движи, никога не е видяло потока, което сочи към по-ранна граница: грешния интерфейс, грешната таблица или маршрут, който никога не е изпратил пакета там. Правило, чийто брояч се движи и все пак отхвърля, ви казва, че политиката прави това, за което е написана.

Какво не може да ви каже броячът

Броячът ви дава число, не причина. Той не може да различи пакет, съвпаднал по адрес, от такъв, съвпаднал по порт, и не може да каже кое от две подобни правила е уловило потока. Също не може да каже дали пакетът е бил отхвърлен, отказан или приет и после изгубен, освен ако не прочетете правилото, което притежава брояча.

Тук се намесва журналирането на метаданни и обхватът е целият смисъл. Записвайте интерфейса, посоката, адресите, протокола и присъдата за конкретен тестов поток. Тези полета намират провалена граница, без да записват какво е правил потребителят.

Журналирането на полезния товар отговаря на друг въпрос и го прави за всички в интерфейса.

Журналиране на метаданни с тесен обхват

Напишете правило, което съвпада само с вашия тестов поток, дайте му отличителен префикс и ограничете честотата му чрез собствените контроли на платформата, така че обикновено повторение да не наводни хранилището. Префиксът е това, което ви позволява да намерите записите си сред всичко останало, което устройството журналира.

Избягвайте да включвате журналиране на полезния товар или неограничено журналиране на пакети само защото функцията съществува. Отрязаното прихващане също не е автоматично без полезен товар, тъй като размерите на заглавките и оформлението на пакетите варират, така че дължина на снимка, която изглежда малка, все още може да носи байтове на приложението.

Ако трябва да прихванете, прихванете един поток, за ограничено време, с най-малката дължина на снимка, която отговаря на въпроса ви.

Съпоставете една нова заявка

Генерирайте безвреден трафик, който следва действителния маршрут на клиента, след което сравнете съответните броячи преди и след. Локален тест на шлюза може напълно да пропусне правило за препращане, защото пакетът никога не поема пътя на препращането. Установена сесия може също да съвпадне с различно обработване на състоянието от нова връзка, така че дълготраен поток не замества нов.

Ограничете прозореца по време и го запишете. Между две определени минути, от този клиентски адрес, до тази дестинация по този протокол е диагноза. Някъде тази сутрин е търсене.

Един поток, един прозорец, една граница е единицата за напредък тук.

Почистете и запазете само извадката

Премахнете временното диагностично правило чрез притежаващата конфигурация, щом разследването приключи. Тясно правило за журналиране, оставено на място, се превръща в нежелана система за записи и никой не помни защо съществува шест месеца по-късно.

Пазете оригиналните записи поверително, когато политиката го изисква, и споделяйте прегледана минимална извадка, а не цялото прихващане. Адресите, идентификаторите на акаунти и вътрешната топология са чувствителни дори когато няма полезен товар. Отнасяйте се към извадката като към документ със собственик. Редактирайте всичко, което диагнозата не се нуждае.

Целта е конкретна провалена граница за конкретна заявка. Всичко, което създава пълен архив на всеки, който използва VPN, е надхвърлило диагнозата и е започнало друг проект. Проверете документацията на платформата за журналиране какво записва по подразбиране, преди да добавите нещо към нея.