Find droppede VPN-pakker uden at optage deres indhold

En firewalls tæller stiger, når en pakke matcher en regel, og det gør den uden at beholde pakken. Det er nok til at besvare det første spørgsmål i de fleste drop-undersøgelser: nåede strømmen overhovedet denne regel. Optagelse af nyttelasten besvarer et andet spørgsmål og samler alt andet, der krydser grænsefladen, mens den kører. Start med tælleren, og skift først til metadata-logning, når tælleren er tvetydig.

Tællere besvarer det første spørgsmål

Hver regel, der kan matche, har en tæller, og at læse den før og efter en test fortæller, om trafikken nåede frem. Det er en sammenligning af to tal og ikke et arkiv, og det koster intet i lager eller eksponering.

Læs tællerne med det værktøj, der ejer reglerne:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Deltaet er beviset. En regel, hvis tæller ikke flytter sig, har aldrig set strømmen, hvilket peger på en tidligere grænse: den forkerte grænseflade, den forkerte tabel eller en rute, der aldrig sendte pakken derhen. En regel, hvis tæller flytter sig og stadig dropper, fortæller, at politikken gør det, den blev skrevet til.

Hvad en tæller ikke kan fortælle dig

En tæller giver dig et tal, ikke en grund. Den kan ikke skelne en pakke, der matchede på adresse, fra en, der matchede på port, og den kan ikke sige, hvilken af to lignende regler der fangede strømmen. Den kan heller ikke sige, om pakken blev droppet, afvist eller accepteret og derefter tabt, medmindre du læser den regel, der ejer tælleren.

Det er her metadata-logning kommer ind, og omfanget er hele pointen. Log grænseflade, retning, adresser, protokol og afgørelse for en bestemt teststrøm. De felter lokaliserer en fejlet grænse uden at registrere, hvad brugeren lavede.

Logning af nyttelast besvarer et andet spørgsmål, og den besvarer det om alle på grænsefladen.

Metadata-logning med et snævert omfang

Skriv en regel, der kun matcher din teststrøm, giv den et tydeligt præfiks, og begræns dens hastighed under platformens egne kontroller, så et almindeligt nyt forsøg ikke oversvømmer lageret. Præfikset er det, der lader dig finde dine poster blandt alt andet, enheden logger.

Undgå at aktivere logning af nyttelast eller ubegrænset pakkelogning, bare fordi funktionen findes. En afkortet optagelse er heller ikke automatisk fri for nyttelast, da headerstørrelser og pakkelayout varierer, så en snaplængde, der ser lille ud, stadig kan bære applikationsbytes.

Hvis du skal optage, så optag én strøm, i en begrænset tid, med den mindste snaplængde, der besvarer dit spørgsmål.

Match én frisk anmodning

Generer harmløs trafik, der følger den faktiske klientrute, og sammenlign derefter de relevante tællere før og efter. En gateway-lokal test kan helt misse en videresendelsesregel, fordi pakken aldrig tager videresendelsesvejen. En etableret session kan også matche en anden tilstandshåndtering end en ny forbindelse, så en langvarig strøm erstatter ikke en frisk.

Tidsbegræns vinduet og skriv det ned. Mellem to bestemte minutter, fra denne klientadresse, til denne destination på denne protokol er en diagnose. Engang i morges er en søgning.

Én strøm, ét vindue, én grænse er fremskridtets enhed her.

Ryd op, og behold kun uddraget

Fjern den midlertidige diagnostikregel gennem den ejende konfiguration, når undersøgelsen slutter. En snæver logningsregel, der bliver stående, bliver et utilsigtet registersystem, og ingen husker om seks måneder, hvorfor den findes.

Hold originale registreringer private, når politikken kræver det, og del et gennemgået minimalt uddrag i stedet for hele optagelsen. Adresser, kontoidentifikatorer og intern topologi er følsomme, selv når der ikke er nyttelast. Behandl uddraget som et dokument med en ejer. Slør alt, hvad diagnosen ikke har brug for.

Målet er en bestemt fejlet grænse for en bestemt anmodning. Alt, der laver et komplet arkiv over alle, der bruger VPN, har overskredet diagnosen og startet et andet projekt. Tjek platformens logdokumentation for, hvad den registrerer som standard, før du tilføjer noget til den.