Pronađite odbačene VPN pakete bez snimanja njihovog sadržaja

Brojač vatrozida se povećava kada paket odgovara pravilu, i to čini bez zadržavanja paketa. To je dovoljno da odgovori na prvo pitanje u većini istraga odbacivanja: je li tok uopće stigao do ovog pravila. Snimanje sadržaja odgovara na drugo pitanje i prikuplja sve ostalo što prelazi interfejs dok radi. Počnite s brojačem, a na bilježenje metapodataka prijeđite samo kada je brojač nejasan.

Brojači odgovaraju na prvo pitanje

Svako pravilo koje može odgovarati ima brojač, a njegovo čitanje prije i poslije testa kaže je li promet stigao. To je poređenje dva broja, a ne arhiva, i ne košta ništa u pohrani ni izloženosti.

Čitajte brojače alatom koji posjeduje pravila:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Delta je dokaz. Pravilo čiji se brojač ne pomjera nikada nije vidjelo tok, što upućuje na raniju granicu: pogrešan interfejs, pogrešna tabela ili ruta koja nikada nije poslala paket tamo. Pravilo čiji se brojač pomjera i koje ipak odbacuje kaže vam da politika radi ono za što je napisana.

Šta vam brojač ne može reći

Brojač vam daje broj, ne razlog. Ne može razlikovati paket koji se poklopio po adresi od onog koji se poklopio po portu, i ne može vam reći koje je od dva slična pravila uhvatilo tok. Također ne može reći je li paket odbačen, odbijen ili prihvaćen pa kasnije izgubljen, osim ako pročitate pravilo koje posjeduje brojač.

Tu nastupa bilježenje metapodataka, a obim je cijela poenta. Zabilježite interfejs, smjer, adrese, protokol i presudu za određeni testni tok. Ta polja lociraju neuspjelu granicu bez bilježenja šta je korisnik radio.

Bilježenje sadržaja odgovara na drugo pitanje i odgovara na njega o svima na interfejsu.

Bilježenje metapodataka s uskim obimom

Napišite pravilo koje odgovara samo vašem testnom toku, dajte mu prepoznatljiv prefiks i ograničite mu brzinu pod vlastitim kontrolama platforme kako obično ponavljanje ne bi preplavilo pohranu. Prefiks je ono što vam omogućava da pronađete svoje unose među svime ostalim što uređaj bilježi.

Izbjegavajte omogućavanje bilježenja sadržaja ili neograničenog bilježenja paketa samo zato što funkcija postoji. Skraćeno snimanje ni automatski nije bez sadržaja, jer se veličine zaglavlja i rasporedi paketa razlikuju, pa dužina snimka koja izgleda mala ipak može nositi bajtove aplikacije.

Ako morate snimati, snimite jedan tok, na ograničeno vrijeme, s najmanjom dužinom snimka koja odgovara na vaše pitanje.

Poklopite jedan novi zahtjev

Generirajte bezopasan promet koji slijedi stvarnu rutu klijenta, pa uporedite relevantne brojače prije i poslije. Lokalni test na gatewayu može potpuno promašiti pravilo prosljeđivanja, jer paket nikada ne ide putem prosljeđivanja. Uspostavljena sesija također može odgovarati drugačijem rukovanju stanjem od nove veze, pa dugotrajan tok nije zamjena za svježi.

Vremenski ograničite prozor i zapišite ga. Između dvije navedene minute, s ove adrese klijenta, prema ovoj destinaciji na ovom protokolu jest dijagnoza. Negdje jutros je pretraga.

Jedan tok, jedan prozor, jedna granica jedinica je napretka ovdje.

Očistite i zadržite samo izvadak

Uklonite privremeno dijagnostičko pravilo kroz vlastitu konfiguraciju kad istraga završi. Usko pravilo bilježenja ostavljeno na mjestu postaje neželjeni sustav zapisa i nitko se nakon šest mjeseci ne sjeća zašto postoji.

Čuvajte izvorne zapise privatno kada politika to zahtijeva i dijelite pregledan minimalni izvadak umjesto cijelog snimanja. Adrese, identifikatori računa i unutrašnja topologija osjetljivi su čak i kad nema sadržaja. Tretirajte izvadak kao dokument s vlasnikom. Redigirajte sve što dijagnozi ne treba.

Cilj je određena neuspjela granica za određeni zahtjev. Sve što proizvede potpunu arhivu svih koji koriste VPN premašilo je dijagnozu i započelo drugi projekt. Provjerite dokumentaciju platforme o bilježenju da vidite šta se bilježi po zadanom prije nego što bilo šta dodate.