Trovi forĵetitajn VPN-paketojn sen kapti ilian enhavon

Fajroŝirma nombrilo pliiĝas kiam paketo kongruas kun regulo, kaj ĝi faras tion sen konservi la paketon. Tio sufiĉas por respondi la unuan demandon en plej multaj esploroj de forĵeto: ĉu la fluo entute atingis ĉi tiun regulon. Kaptado de la ŝarĝo respondas alian demandon, kaj ĝi kolektas ĉion alian, kio transiras la interfacon dum ĝi funkcias. Komencu per la nombrilo, kaj transiru al metadatumprotokolado nur kiam la nombrilo estas ambigua.

Nombriloj respondas la unuan demandon

Ĉiu regulo, kiu povas kongrui, havas nombrilon, kaj legi ĝin antaŭ kaj post testo diras al vi, ĉu trafiko alvenis. Tio estas komparo de du nombroj, ne arkivo, kaj ĝi kostas nenion en stokado aŭ elmetiĝo.

Legu la nombrilojn per la ilo, kiu posedas la regulojn:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

La delta estas la pruvo. Regulo, kies nombrilo ne moviĝas, neniam vidis la fluon, kio montras al pli frua limo: la malĝusta interfaco, la malĝusta tabelo aŭ itinero, kiu neniam sendis la paketon tien. Regulo, kies nombrilo moviĝas kaj tamen forĵetas, diras al vi, ke la politiko faras tion, por kio ĝi estis skribita.

Kion nombrilo ne povas diri al vi

Nombrilo donas al vi nombron, ne kaŭzon. Ĝi ne povas distingi paketon, kiu kongruis laŭ adreso, de tiu, kiu kongruis laŭ pordo, kaj ĝi ne povas diri al vi, kiu el du similaj reguloj kaptis la fluon. Ĝi ankaŭ ne povas diri, ĉu la paketo estis forĵetita, malakceptita aŭ akceptita kaj poste perdita, krom se vi legas la regulon, kiu posedas la nombrilon.

Tie ĉi envenas metadatumprotokolado, kaj la amplekso estas la tuta afero. Protokolu la interfacon, direkton, adresojn, protokolon kaj verdikton por specifa testfluo. Tiuj kampoj lokalizas malsukcesan limon sen registri, kion la uzanto faris.

Ŝarĝa protokolado respondas alian demandon, kaj ĝi respondas ĝin pri ĉiuj sur la interfaco.

Metadatumprotokolado kun mallarĝa amplekso

Skribu regulon, kiu kongruas nur kun via testfluo, donu al ĝi distingan prefikson kaj limigu ĝian rapidon sub la propraj kontroloj de la platformo, por ke ordinara reprovo ne superverŝu stokadon. La prefikso estas tio, kio ebligas al vi trovi viajn enskribojn inter ĉio alia, kion la aparato protokolas.

Evitu ŝalti ŝarĝan aŭ senliman paketan protokoladon nur ĉar la funkcio ekzistas. Ankaŭ tranĉita kaptaĵo ne estas aŭtomate senŝarĝa, ĉar grandecoj de kaplinioj kaj aranĝoj de paketoj varias, do ŝanĝlongo, kiu ŝajnas malgranda, ankoraŭ povas porti bitokojn de aplikaĵo.

Se vi devas kapti, kaptu unu fluon, por limigita tempo, kun la plej malgranda ŝanĝlongo, kiu respondas vian demandon.

Kongruigu unu freŝan peton

Generu sendanĝeran trafikon, kiu sekvas la realan klientan itineron, poste komparu la koncernajn nombrilojn antaŭe kaj poste. Loka testo ĉe la enirejo povas tute maltrafi plusendan regulon, ĉar la paketo neniam prenas la plusendan vojon. Establita seanco ankaŭ povas kongrui alian statotraktadon ol nova konekto, do longdaŭra fluo ne anstataŭas freŝan.

Tempolimu la fenestron kaj skribu ĝin. Inter du difinitaj minutoj, de ĉi tiu klienta adreso, al ĉi tiu celloko sur ĉi tiu protokolo estas diagnozo. Iam ĉi-matene estas serĉo.

Unu fluo, unu fenestro, unu limo estas la unuo de progreso ĉi tie.

Purigu kaj konservu nur la eltiraĵon

Forigu la provizan diagnozan regulon per la posedanta agordo, kiam la esploro finiĝos. Mallarĝa protokoliga regulo lasita surloke fariĝas neintencita registra sistemo, kaj neniu memoras ses monatojn poste, kial ĝi ekzistas.

Konservu originalajn rikordojn private, kiam politiko postulas tion, kaj dividu reviziitan minimuman eltiraĵon anstataŭ la tutan kaptaĵon. Adresoj, kontaj identigiloj kaj interna topologio estas sentemaj eĉ kiam neniu ŝarĝo ĉeestas. Traktu la eltiraĵon kiel dokumenton kun posedanto. Redaktu ĉion, kion la diagnozo ne bezonas.

La celo estas specifa malsukcesa limo por specifa peto. Io ajn, kio produktas kompletan arkivon de ĉiuj, kiuj uzas la VPN, superis la diagnozon kaj komencis alian projekton. Kontrolu la protokolan dokumentaron de la platformo pri tio, kion ĝi registras defaŭlte, antaŭ ol aldoni ion al ĝi.