Rhybudd sy'n dod i mewn ar weinydd VPN: darllenwch y man arsylwi

Mae gweinydd y tu ôl i VPN yn cadw ei gofnodion gwasanaeth cyhoeddus, ac mae pobl yn dal i'w canfod. Nid un canfyddiad sy'n cyrraedd y ciw rhybuddion ond tri o rai posibl, ac maent yn golygu pethau gwahanol. Y dasg gyntaf yw gwahanu gwasanaeth agored oddi wrth gyfrifoldeb agored.

Ewch drwy'r mannau arsylwi yn eu trefn. Stopiwch pan fydd y dystiolaeth yn newid categori, oherwydd mae'r cam nesaf yn ateb cwestiwn gwahanol.

Cam un: beth welodd y cipiad mewn gwirionedd

Mae cipiad pecynnau yn cofnodi'r hyn oedd yn weladwy yn ei fan ei hun ar y llwybr. Gall y man hwnnw fod cyn penderfyniad hidlo diweddarach. Mae pecyn a gipiwyd yn profi bod y traffig wedi cyrraedd yno. Nid yw'n profi dim am yr hyn a ddigwyddodd wedyn.

Sylwch ar y rhyngwyneb hefyd. Mae cipiad ar y addasydd cyhoeddus a chipiad y tu mewn i'r twndl yn disgrifio mannau cyrraedd gwahanol, ac mae rhybudd sy'n dyfynnu'r un anghywir yn arwain at y casgliad anghywir.

Mae Windows hefyd yn hidlo ar sawl haen o'r stac, felly nid yw'r model taclus lle mae'r offeryn cipio ar haen dau a'r wal dân ar haen tri yn goroesi cysylltiad â chynnyrch go iawn. Mae trosolwg Windows Filtering Platform yn disgrifio hidlo ar draws haenau'r stac, a dyna pam y mae'n rhaid sefydlu trefn arsylwi yn hytrach na'i thybio.

Cam dau: beth mae'r cofnod gollwng yn ei sefydlu

Mae cofnod gollwng yn dweud bod ffin polisi wedi gwrthod y pecyn hwnnw. Tystiolaeth gref yw hon. Tystiolaeth gul yw hi hefyd, oherwydd mae'n cwmpasu un penderfyniad ar un ffin. Nid oes dim arall yn y stac yn cael ei ddisgrifio ganddo.

Cysylltwch ar y tuple a'r stamp amser. Yr un ffynhonnell, yr un cyrchfan, yr un porth, o fewn yr un eiliad. Heb y cyfatebiaeth honno, dim ond digwyddiad arall yw digwyddiad tebyg mewn log arall, ac mae eu paru yn cynhyrchu stori na all neb ei hamddiffyn.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Mae porth caeëdig a phecyn a ollyngwyd yn edrych yn union yr un fath o'r tu allan ac yn hollol wahanol yn y ddau allbwn hyn. Y gwahaniaeth hwnnw yw'r holl reswm dros ddarllen y cofnod lleol.

Cam tri: beth mae'r digwyddiad dilysu yn ei brofi

Mae digwyddiad dilysu yn dweud bod cydran wedi prosesu'r cais yn ddigon pell i gofnodi canlyniad. Dyma'r unig un o'r tri cham sy'n siarad am hunaniaeth, ac nid yw'n dweud dim am faint o becynnau a gyrhaeddodd o'i flaen.

Darllenwch gyd-destun gwirioneddol y digwyddiad. Mae mewngofnodi wedi methu ar gyfer cyfrif nad yw'n bodoli yn sŵn o sganio. Mae mewngofnodi wedi methu ar gyfer cyfrif go iawn o ffynhonnell gredadwy yn flaenoriaeth wahanol. Mae sesiwn lwyddiannus yn gategori digwyddiad hollol wahanol.

Gwyliwch yr enwau protocol hefyd. Mae RPC a RDP yn wasanaethau ar wahân â phorthoedd ar wahân. Nid yw canfodydd sy'n gwylio un ohonynt yn cwmpasu'r llall. Nid yw offer sy'n crynhoi gweithgarwch rhwydwaith bob amser yn dweud pa un o'r ddau a gynhyrchodd y digwyddiad.

Mae un sampl gysylltiedig yn well na dangosfwrdd

Dewiswch un prawf awdurdodedig, ei redeg yn fwriadol, a'i olrhain o'r dechrau i'r diwedd: cyfeiriad cyrchfan a rhyngwyneb, cyfeiriad ffynhonnell go iawn, porth y gwasanaeth, proffil a rheol wal dân effeithiol, a chanlyniad cyfatebol y gwasanaeth. Cynhwyswch unrhyw fapio i fyny'r afon neu wal dân cwmwl yn y gadwyn honno, oherwydd gall rheol ganiatäol yno ddiystyru un leol daclus.

Yna gwahanwch y ddwy rwymedigaeth. Os yw gweinyddiaeth i fod drwy VPN yn unig, gorfodwch hynny ar y llwybr cyhoeddus a'r llwybr twndl tra'n cadw llwybr adfer cymeradwy. Nid yw monitro ymgais a wrthodwyd yr un dasg â phenderfynu beth ddylai'r gweinydd ei dderbyn.

Nid yw rheol ddaearyddol na phrotocol annatod wedi'i rwystro yn cymryd lle canfod y mynediad a arsylwyd a'r penderfyniad a gafodd. Nid yw VPN chwaith: nid yw llwybro traffig allanol drwy dwndl yn dogfennu dim am awdurdodiad sy'n dod i mewn.