Najděte zahazované VPN pakety bez zachycení jejich obsahu

Počítadlo firewallu se zvýší, když paket odpovídá pravidlu, a udělá to, aniž by paket uchovalo. To stačí k odpovědi na první otázku ve většině vyšetřování zahazování: dorazil tok vůbec k tomuto pravidlu. Zachycení obsahu odpovídá na jinou otázku a shromažďuje vše ostatní, co během běhu projde rozhraním. Začněte počítadlem a k protokolování metadat přejděte jen tehdy, když je počítadlo nejednoznačné.

Počítadla odpovídají na první otázku

Každé pravidlo, které může odpovídat, má počítadlo, a jeho přečtení před testem a po něm řekne, zda provoz dorazil. To je porovnání dvou čísel, nikoli archiv, a nestojí nic na úložišti ani na expozici.

Čtěte počítadla nástrojem, kterému pravidla patří:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Delta je důkaz. Pravidlo, jehož počítadlo se nehýbe, tok nikdy nevidělo, což ukazuje na dřívější hranici: špatné rozhraní, špatnou tabulku nebo trasu, která paket tam nikdy neposlala. Pravidlo, jehož počítadlo se hýbe a přesto zahazuje, vám říká, že zásada dělá to, k čemu byla napsána.

Co vám počítadlo neřekne

Počítadlo vám dá číslo, ne důvod. Nedokáže rozlišit paket, který odpovídal adresou, od paketu, který odpovídal portem, a neřekne vám, které ze dvou podobných pravidel tok zachytilo. Také neřekne, zda byl paket zahozen, odmítnut nebo přijat a poté ztracen, pokud nepřečtete pravidlo, kterému počítadlo patří.

Zde přichází na řadu protokolování metadat a rozsah je celý smysl. Zaznamenejte rozhraní, směr, adresy, protokol a verdikt pro konkrétní testovací tok. Tato pole lokalizují selhanou hranici, aniž by zaznamenala, co uživatel dělal.

Protokolování obsahu odpovídá na jinou otázku a odpovídá na ni o všech v rozhraní.

Protokolování metadat s úzkým rozsahem

Napište pravidlo, které odpovídá jen vašemu testovacímu toku, dejte mu výrazný prefix a omezte jeho rychlost pod vlastními kontrolami platformy, aby běžné opakování nezaplavilo úložiště. Právě prefix vám umožní najít vaše záznamy mezi vším ostatním, co zařízení protokoluje.

Vyhněte se zapnutí protokolování obsahu nebo neomezeného protokolování paketů jen proto, že funkce existuje. Ani zkrácené zachycení není automaticky bez obsahu, protože velikosti hlaviček a rozvržení paketů se liší, takže délka snímku, která vypadá malá, může stále nést bajty aplikace.

Pokud musíte zachytávat, zachyťte jeden tok, na omezenou dobu, s nejmenší délkou snímku, která odpovídá na vaši otázku.

Srovnejte jeden nový požadavek

Vygenerujte neškodný provoz, který sleduje skutečnou trasu klienta, a poté porovnejte příslušná počítadla před a po. Místní test na bráně může pravidlo předávání zcela minout, protože paket nikdy nejde cestou předávání. Navázaná relace také může odpovídat jinému zpracování stavu než nové připojení, takže dlouho žijící tok nenahrazuje čerstvý.

Ohraničte okno časem a zapište ho. Mezi dvěma určenými minutami, z této adresy klienta, k tomuto cíli na tomto protokolu je diagnóza. Někdy dnes ráno je hledání.

Jeden tok, jedno okno, jedna hranice je zde jednotkou pokroku.

Ukliďte a ponechte jen výňatek

Odstraňte dočasné diagnostické pravidlo přes vlastní konfiguraci, jakmile vyšetřování skončí. Úzké pravidlo protokolování ponechané na místě se stane nezamýšleným záznamovým systémem a nikdo si po šesti měsících nepamatuje, proč existuje.

Uchovávejte původní záznamy soukromě, když to zásada vyžaduje, a sdílejte zkontrolovaný minimální výňatek místo celého zachycení. Adresy, identifikátory účtů a vnitřní topologie jsou citlivé, i když není přítomen žádný obsah. Zacházejte s výňatkem jako s dokumentem s vlastníkem. Redigujte vše, co diagnóza nepotřebuje.

Cílem je konkrétní selhaná hranice pro konkrétní požadavek. Cokoli, co vytvoří úplný archiv všech, kdo používají VPN, překročilo diagnózu a začalo jiný projekt. Než k protokolování něco přidáte, zkontrolujte v dokumentaci platformy, co se ve výchozím nastavení zaznamenává.