Βρείτε απορριφθέντα πακέτα VPN χωρίς καταγραφή του περιεχομένου τους

Ο μετρητής του τείχους προστασίας αυξάνεται όταν ένα πακέτο ταιριάζει με κανόνα, και το κάνει χωρίς να κρατά το πακέτο. Αυτό αρκεί για να απαντήσει στο πρώτο ερώτημα στις περισσότερες έρευνες απόρριψης: έφτασε η ροή σε αυτόν τον κανόνα καθόλου. Η καταγραφή του ωφέλιμου φορτίου απαντά σε άλλο ερώτημα και συλλέγει ό,τι άλλο διασχίζει τη διεπαφή όσο εκτελείται. Ξεκινήστε με τον μετρητή και περάστε στην καταγραφή μεταδεδομένων μόνο όταν ο μετρητής είναι ασαφής.

Οι μετρητές απαντούν στο πρώτο ερώτημα

Κάθε κανόνας που μπορεί να ταιριάξει έχει μετρητή, και η ανάγνωσή του πριν και μετά από μια δοκιμή σας λέει αν έφτασε η κίνηση. Αυτή είναι σύγκριση δύο αριθμών και όχι αρχείο, και δεν κοστίζει τίποτα σε αποθήκευση ή έκθεση.

Διαβάστε τους μετρητές με το εργαλείο που κατέχει τους κανόνες:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Το δέλτα είναι η απόδειξη. Ένας κανόνας του οποίου ο μετρητής δεν κινείται δεν είδε ποτέ τη ροή, κάτι που δείχνει σε προγενέστερο όριο: τη λάθος διεπαφή, τον λάθος πίνακα ή μια διαδρομή που δεν έστειλε ποτέ το πακέτο εκεί. Ένας κανόνας του οποίου ο μετρητής κινείται και ακόμη απορρίπτει σας λέει ότι η πολιτική κάνει αυτό για το οποίο γράφτηκε.

Τι δεν μπορεί να σας πει ένας μετρητής

Ένας μετρητής σας δίνει αριθμό, όχι αιτία. Δεν μπορεί να ξεχωρίσει ένα πακέτο που ταίριαξε στη διεύθυνση από ένα που ταίριαξε στη θύρα, και δεν μπορεί να σας πει ποιος από δύο παρόμοιους κανόνες έπιασε τη ροή. Δεν μπορεί επίσης να πει αν το πακέτο απορρίφθηκε, αποκρούστηκε ή έγινε δεκτό και χάθηκε αργότερα, εκτός αν διαβάσετε τον κανόνα που κατέχει τον μετρητή.

Εδώ μπαίνει η καταγραφή μεταδεδομένων, και το εύρος είναι το όλο νόημα. Καταγράψτε τη διεπαφή, την κατεύθυνση, τις διευθύνσεις, το πρωτόκολλο και την ετυμηγορία για μια συγκεκριμένη δοκιμαστική ροή. Αυτά τα πεδία εντοπίζουν ένα αποτυχημένο όριο χωρίς να καταγράφουν τι έκανε ο χρήστης.

Η καταγραφή ωφέλιμου φορτίου απαντά σε άλλο ερώτημα, και το απαντά για όλους στη διεπαφή.

Καταγραφή μεταδεδομένων με στενό εύρος

Γράψτε έναν κανόνα που ταιριάζει μόνο στη δοκιμαστική σας ροή, δώστε του ένα χαρακτηριστικό πρόθεμα και περιορίστε τον ρυθμό του υπό τους ίδιους τους ελέγχους της πλατφόρμας ώστε μια συνηθισμένη επανάληψη να μην πλημμυρίσει την αποθήκευση. Το πρόθεμα είναι αυτό που σας επιτρέπει να βρείτε τις καταχωρίσεις σας ανάμεσα σε όλα τα άλλα που καταγράφει η συσκευή.

Αποφύγετε να ενεργοποιήσετε καταγραφή ωφέλιμου φορτίου ή απεριόριστη καταγραφή πακέτων μόνο επειδή υπάρχει η λειτουργία. Ούτε μια περικομμένη σύλληψη είναι αυτόματα ελεύθερη ωφέλιμου φορτίου, αφού τα μεγέθη κεφαλίδων και οι διατάξεις πακέτων ποικίλλουν, οπότε ένα μήκος στιγμιότυπου που φαίνεται μικρό μπορεί ακόμη να μεταφέρει byte εφαρμογής.

Αν πρέπει να συλλάβετε, συλλάβετε μία ροή, για περιορισμένο χρόνο, με το μικρότερο μήκος στιγμιότυπου που απαντά στο ερώτημά σας.

Ταιριάξτε ένα νέο αίτημα

Δημιουργήστε ακίνδυνη κίνηση που ακολουθεί την πραγματική διαδρομή του πελάτη και μετά συγκρίνετε τους σχετικούς μετρητές πριν και μετά. Μια τοπική δοκιμή στην πύλη μπορεί να χάσει εντελώς έναν κανόνα προώθησης, γιατί το πακέτο δεν παίρνει ποτέ τη διαδρομή προώθησης. Μια εγκατεστημένη συνεδρία μπορεί επίσης να ταιριάξει με διαφορετικό χειρισμό κατάστασης από μια νέα σύνδεση, οπότε μια μακρόβια ροή δεν υποκαθιστά μια νέα.

Περιορίστε το παράθυρο χρονικά και γράψτε το. Μεταξύ δύο καθορισμένων λεπτών, από αυτή τη διεύθυνση πελάτη, προς αυτόν τον προορισμό σε αυτό το πρωτόκολλο είναι διάγνωση. Κάποια στιγμή σήμερα το πρωί είναι αναζήτηση.

Μία ροή, ένα παράθυρο, ένα όριο είναι η μονάδα προόδου εδώ.

Καθαρίστε και κρατήστε μόνο το απόσπασμα

Αφαιρέστε τον προσωρινό διαγνωστικό κανόνα μέσω της ιδιοκτήτριας ρύθμισης μόλις τελειώσει η έρευνα. Ένας στενός κανόνας καταγραφής που μένει στη θέση του γίνεται ακούσιο σύστημα αρχείων και κανείς δεν θυμάται έξι μήνες αργότερα γιατί υπάρχει.

Κρατήστε τα αρχικά αρχεία ιδιωτικά όταν το απαιτεί η πολιτική και μοιραστείτε ένα ελεγμένο ελάχιστο απόσπασμα αντί για ολόκληρη τη σύλληψη. Οι διευθύνσεις, τα αναγνωριστικά λογαριασμών και η εσωτερική τοπολογία είναι ευαίσθητα ακόμη και όταν δεν υπάρχει ωφέλιμο φορτίο. Αντιμετωπίστε το απόσπασμα ως έγγραφο με ιδιοκτήτη. Αποκρύψτε ό,τι δεν χρειάζεται η διάγνωση.

Ο στόχος είναι ένα συγκεκριμένο αποτυχημένο όριο για ένα συγκεκριμένο αίτημα. Οτιδήποτε παράγει πλήρες αρχείο όλων όσοι χρησιμοποιούν το VPN έχει ξεπεράσει τη διάγνωση και έχει ξεκινήσει άλλο έργο. Ελέγξτε την τεκμηρίωση καταγραφής της πλατφόρμας για το τι καταγράφει εξ ορισμού πριν προσθέσετε κάτι σε αυτή.