Encuentre paquetes VPN descartados sin capturar su contenido

El contador de un cortafuegos aumenta cuando un paquete coincide con una regla, y lo hace sin conservar el paquete. Eso basta para responder la primera pregunta en la mayoría de las investigaciones de descarte: si el flujo llegó a esta regla. La captura de la carga útil responde otra pregunta y recoge todo lo demás que cruza la interfaz mientras se ejecuta. Empiece por el contador y pase al registro de metadatos solo cuando el contador sea ambiguo.

Los contadores responden la primera pregunta

Toda regla que pueda coincidir tiene un contador, y leerlo antes y después de una prueba le dice si llegó el tráfico. Es una comparación de dos números y no un archivo, y no cuesta nada en almacenamiento ni en exposición.

Lea los contadores con la herramienta que posee las reglas:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

El delta es la prueba. Una regla cuyo contador no se mueve nunca vio el flujo, lo que apunta a un límite anterior: la interfaz equivocada, la tabla equivocada o una ruta que nunca envió el paquete allí. Una regla cuyo contador se mueve y aun así descarta le dice que la política hace lo que se escribió para hacer.

Qué no puede decirle un contador

Un contador le da un número, no una razón. No puede distinguir un paquete que coincidió por dirección de uno que coincidió por puerto, ni puede decirle cuál de dos reglas similares atrapó el flujo. Tampoco puede decirle si el paquete se descartó, se rechazó o se aceptó y luego se perdió, a menos que lea la regla que posee el contador.

Aquí entra el registro de metadatos, y el alcance es todo el asunto. Registre la interfaz, la dirección, las direcciones, el protocolo y el veredicto para un flujo de prueba concreto. Esos campos localizan un límite fallido sin registrar qué hacía el usuario.

El registro de la carga útil responde otra pregunta, y la responde sobre todos en la interfaz.

Registro de metadatos con alcance reducido

Escriba una regla que coincida solo con su flujo de prueba, dele un prefijo distintivo y limite su tasa bajo los controles propios de la plataforma para que un reintento ordinario no inunde el almacenamiento. El prefijo es lo que le permite encontrar sus entradas entre todo lo demás que registra el dispositivo.

Evite activar el registro de carga útil o de paquetes sin restricciones solo porque la función existe. Una captura truncada tampoco queda libre de carga útil automáticamente, ya que los tamaños de cabecera y los diseños de paquete varían, así que una longitud de captura que parece pequeña aún puede llevar bytes de aplicación.

Si debe capturar, capture un solo flujo, durante un tiempo acotado, con la menor longitud de captura que responda su pregunta.

Coincida con una solicitud nueva

Genere tráfico inofensivo que siga la ruta real del cliente y luego compare los contadores relevantes antes y después. Una prueba local en la pasarela puede pasar por alto por completo una regla de reenvío, porque el paquete nunca toma la ruta de reenvío. Una sesión establecida también puede coincidir con un manejo de estado distinto al de una conexión nueva, así que un flujo prolongado no sustituye a uno nuevo.

Acote la ventana en el tiempo y anótela. Entre dos minutos concretos, desde esta dirección de cliente, hacia este destino en este protocolo es un diagnóstico. En algún momento de esta mañana es una búsqueda.

Un flujo, una ventana, un límite es la unidad de progreso aquí.

Limpie y conserve solo el extracto

Retire la regla de diagnóstico temporal a través de la configuración propietaria en cuanto termine la investigación. Una regla de registro estrecha que se deja en su sitio se convierte en un sistema de registro no previsto, y nadie recuerda por qué existe seis meses después.

Mantenga los registros originales en privado cuando la política lo exija y comparta un extracto mínimo revisado en lugar de toda la captura. Las direcciones, los identificadores de cuenta y la topología interna son sensibles incluso cuando no hay carga útil. Trate el extracto como un documento con propietario. Redacte todo lo que el diagnóstico no necesita.

El objetivo es un límite fallido concreto para una solicitud concreta. Cualquier cosa que produzca un archivo completo de todos los que usan la VPN ha superado el diagnóstico y ha empezado otro proyecto. Consulte la documentación de registro de la plataforma para saber qué registra por defecto antes de añadir algo.