Trobeu paquets VPN descartats sense capturar-ne el contingut

El comptador del tallafoc s'incrementa quan un paquet coincideix amb una regla, i ho fa sense retenir el paquet. Això n'hi ha prou per respondre la primera pregunta en la majoria d'investigacions de descart: si el flux va arribar a aquesta regla. La captura de la càrrega útil respon una altra pregunta i recull tot el que travessa la interfície mentre s'executa. Comenceu pel comptador i passeu al registre de metadades només quan el comptador sigui ambigu.

Els comptadors responen la primera pregunta

Cada regla que pot coincidir té un comptador, i llegir-lo abans i després d'una prova us diu si el trànsit ha arribat. És una comparació de dos nombres i no un arxiu, i no costa res en emmagatzematge ni en exposició.

Llegiu els comptadors amb l'eina que posseeix les regles:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

El delta és l'evidència. Una regla el comptador de la qual no es mou mai no va veure el flux, cosa que apunta a una frontera anterior: la interfície equivocada, la taula equivocada o una ruta que mai va enviar el paquet allà. Una regla el comptador de la qual es mou i que tot i així descarta us diu que la política fa el que es va escriure per fer.

Què no us pot dir un comptador

Un comptador us dona un nombre, no una raó. No pot distingir un paquet que va coincidir per adreça d'un que va coincidir per port, ni us pot dir quina de dues regles similars va atrapar el flux. Tampoc no us pot dir si el paquet es va descartar, es va rebutjar o es va acceptar i després es va perdre, tret que llegiu la regla que posseeix el comptador.

Aquí entra el registre de metadades, i l'abast és tota la qüestió. Registreu la interfície, la direcció, les adreces, el protocol i el veredicte per a un flux de prova concret. Aquests camps localitzen una frontera fallida sense enregistrar què feia l'usuari.

El registre de la càrrega útil respon una altra pregunta, i la respon sobre tothom a la interfície.

Registre de metadades amb un abast estret

Escriviu una regla que només coincideixi amb el vostre flux de prova, doneu-li un prefix distintiu i limiteu-ne la taxa sota els controls propis de la plataforma perquè un reintent ordinari no inundï l'emmagatzematge. El prefix és el que us permet trobar les vostres entrades entre tot el que registra el dispositiu.

Eviteu activar el registre de càrrega útil o de paquets sense restriccions només perquè la funció existeix. Una captura truncada tampoc no queda automàticament lliure de càrrega útil, ja que les mides de les capçaleres i la disposició dels paquets varien, així que una longitud de captura que sembla petita encara pot portar bytes d'aplicació.

Si heu de capturar, captureu un sol flux, durant un temps limitat, amb la longitud de captura més petita que respongui la vostra pregunta.

Feu coincidir una sol·licitud nova

Genereu trànsit inofensiu que segueixi la ruta real del client i després compareu els comptadors rellevants abans i després. Una prova local a la passarel·la pot passar per alt del tot una regla de reenviament, perquè el paquet mai no pren el camí de reenviament. Una sessió establerta també pot coincidir amb un tractament d'estat diferent del d'una connexió nova, així que un flux de llarga durada no substitueix un de nou.

Limiteu la finestra en el temps i anoteu-la. Entre dos minuts concrets, des d'aquesta adreça de client, cap a aquesta destinació en aquest protocol és un diagnòstic. En algun moment d'aquest matí és una cerca.

Un flux, una finestra, una frontera és la unitat de progrés aquí.

Netegeu i conserveu només l'extracte

Elimineu la regla de diagnòstic temporal a través de la configuració propietària quan acabi la investigació. Una regla de registre estreta deixada al lloc es converteix en un sistema de registre no previst, i ningú no recorda per què existeix sis mesos després.

Conserveu els registres originals en privat quan la política ho requereixi i compartiu un extracte mínim revisat en lloc de tota la captura. Les adreces, els identificadors de compte i la topologia interna són sensibles fins i tot quan no hi ha càrrega útil. Tracteu l'extracte com un document amb un propietari. Redacteu tot el que el diagnòstic no necessita.

L'objectiu és una frontera fallida concreta per a una sol·licitud concreta. Qualsevol cosa que produeixi un arxiu complet de tothom qui usa la VPN ha superat el diagnòstic i ha començat un altre projecte. Consulteu la documentació de registre de la plataforma per saber què registra per defecte abans d'afegir-hi res.