Dod o hyd i becynnau VPN a gaewyd heb gipio eu cynnwys

Mae cownter wal dân yn cynyddu pan fydd pecyn yn cyfateb i reol, ac mae'n gwneud hynny heb gadw'r pecyn. Mae hynny'n ddigon i ateb y cwestiwn cyntaf yn y rhan fwyaf o ymchwiliadau gollwng: a gyrhaeddodd y fflŵ y rheol hon o gwbl. Mae cipio'r llwyth yn ateb cwestiwn gwahanol, ac mae'n casglu popeth arall sy'n croesi'r rhyngwyneb wrth redeg. Dechreuwch gyda'r cownter, a symudwch at gofnodi metadata dim ond pan fo'r cownter yn amwys.

Mae cownteri yn ateb y cwestiwn cyntaf

Mae gan bob rheol a all gyfateb gownter, ac mae ei ddarllen cyn ac ar ôl prawf yn dweud wrthych a gyrhaeddodd y traffig. Mae hynny'n gymharu dau rif yn hytrach nag archif, ac nid yw'n costio dim o ran storio nac amlygiad.

Darllenwch y cownteri gyda'r offeryn sy'n berchen ar y rheolau:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Y delta yw'r dystiolaeth. Nid yw rheol nad yw ei chownter yn symud erioed wedi gweld y fflŵ, sy'n pwyntio at ffin gynharach: y rhyngwyneb anghywir, y tabl anghywir, neu lwybr na anfonodd y pecyn yno erioed. Mae rheol y mae ei chownter yn symud ac sy'n dal i ollwng yn dweud wrthych fod y polisi yn gwneud yr hyn y'i hysgrifennwyd i'w wneud.

Beth na all cownter ei ddweud wrthych

Mae cownter yn rhoi rhif i chi, nid rheswm. Ni all wahaniaethu rhwng pecyn a gyfatebodd ar gyfeiriad a phecyn a gyfatebodd ar borth, ac ni all ddweud wrthych pa un o ddwy reol debyg a ddaliodd y fflŵ. Ni all ychwaith ddweud a gafodd y pecyn ei ollwng, ei wrthod, neu ei dderbyn ac yna ei golli, oni bai eich bod yn darllen y rheol sy'n berchen ar y cownter.

Dyma lle mae cofnodi metadata yn dod i mewn, a'r cwmpas yw'r pwynt cyfan. Cofnodwch y rhyngwyneb, cyfeiriad, cyfeiriadau, protocol a dyfarniad ar gyfer fflŵ prawf penodol. Mae'r meysydd hynny'n canfod ffin a fethodd heb gofnodi beth oedd y defnyddiwr yn ei wneud.

Mae cofnodi llwyth yn ateb cwestiwn gwahanol, ac mae'n ei ateb am bawb ar y rhyngwyneb.

Cofnodi metadata ag cwmpas cul

Ysgrifennwch reol sy'n cyfateb yn unig i'ch fflŵ prawf, rhoddwch iddi ragosodiad nodedig, a chyfyngwch ei chyfradd o dan reolaethau'r platfform ei hun fel na all ailgynnig cyffredin orlifo storio. Y rhagosodiad yw'r hyn sy'n eich galluogi i ddod o hyd i'ch cofnodion ymhlith popeth arall y mae'r ddyfais yn ei gofnodi.

Osgoi galluogi cofnodi llwyth neu gofnodi pecynnau heb gyfyngiad dim ond oherwydd bod y nodwedd yn bodoli. Nid yw cipiad torri yn rhydd o lwyth yn awtomatig chwaith, gan fod meintiau pennawd a chynlluniau pecynnau'n amrywio, felly gall hyd snap sy'n edrych yn fach fod yn cario beitiau cymhwysiad o hyd.

Os oes rhaid i chi gipio, cipiwch un fflŵ, am amser cyfyngedig, gyda'r hyd snap lleiaf sy'n ateb eich cwestiwn.

Cyfatebwch un cais newydd

Cynhyrchwch draffig diniwed sy'n dilyn llwybr gwirioneddol y cleient, yna cymharwch y cownteri perthnasol cyn ac ar ôl. Gall prawf lleol ar y giât fethu rheol anfon ymlaen yn gyfan gwbl, oherwydd nid yw'r pecyn byth yn cymryd llwybr anfon ymlaen. Gall sesiwn sefydledig hefyd gyfateb i drin cyflwr gwahanol i gysylltiad newydd, felly nid yw fflŵ hirhoedlog yn cymryd lle un newydd.

Cyfyngwch y ffenestr mewn amser a'i hysgrifennu i lawr. Rhwng dau funud penodol, o'r cyfeiriad cleient hwn, i'r cyrchfan hon ar y protocol hwn mae'n ddiagnosis. Rhyw dro y bore yma mae'n chwiliad.

Un fflŵ, un ffenestr, un ffin yw uned cynnydd yma.

Glanhewch a chadwch yr echdynnyn yn unig

Tynnwch y rheol ddiagnostig dros dro trwy'r ffurfweddiad perchennog unwaith y bydd yr ymchwiliad drosodd. Mae rheol gofnodi gul a adawyd yn ei lle yn dod yn system gofnodi anfwriadol, ac nid oes neb yn cofio pam y mae'n bodoli chwe mis yn ddiweddarach.

Cadwch gofnodion gwreiddiol yn breifat pan fo'r polisi'n gofyn am hynny, a rhannwch echdynnyn lleiaf wedi'i adolygu yn hytrach na'r cipiad cyfan. Mae cyfeiriadau, dynodwyr cyfrif a thopoleg fewnol yn sensitif hyd yn oed pan nad oes llwyth. Triniwch yr echdynnyn fel dogfen sydd â pherchennog. Golygwch bopeth nad yw'r diagnosis yn ei angen.

Y nod yw ffin a fethodd benodol ar gyfer cais penodol. Mae unrhyw beth sy'n cynhyrchu archif gyflawn o bawb sy'n defnyddio'r VPN wedi mynd y tu hwnt i'r diagnosis ac wedi dechrau prosiect gwahanol. Edrychwch ar ddogfennaeth gofnodi'r platfform i weld beth mae'n ei gofnodi fel safon cyn ychwanegu unrhyw beth ati.