Leidke kõrvalejäetud VPN-paketid nende sisu salvestamata

Tulemüüri loendur suureneb, kui pakett vastab reeglile, ja teeb seda paketti hoidmata. Sellest piisab, et vastata esimesele küsimusele enamikus kõrvalejätmise uurimistes: kas voog üldse jõudis selle reeglini. Kasuliku koormuse salvestamine vastab teisele küsimusele ja kogub kõike muud, mis töötamise ajal liidest läbib. Alustage loendurist ja liikuge metaandmete logimise juurde ainult siis, kui loendur on mitmetähenduslik.

Loendurid vastavad esimesele küsimusele

Igal reeglil, mis võib sobida, on loendur, ja selle lugemine enne ja pärast testi ütleb, kas liiklus saabus. See on kahe arvu võrdlus, mitte arhiiv, ja see ei maksa midagi ei salvestusruumis ega paljastumises.

Lugege loendureid tööriistaga, millele reeglid kuuluvad:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Delta on tõend. Reegel, mille loendur ei liigu, ei näinud voogu kunagi, mis osutab varasemale piirile: vale liides, vale tabel või marsruut, mis ei saatnud paketti kunagi sinna. Reegel, mille loendur liigub ja mis ikkagi kõrvale jätab, ütleb teile, et poliitika teeb seda, milleks see kirjutati.

Mida loendur teile öelda ei saa

Loendur annab teile arvu, mitte põhjuse. See ei suuda eristada aadressi järgi sobivat paketti pordi järgi sobivast ega öelda, milline kahest sarnasest reeglist voo kinni püüdis. Samuti ei saa see öelda, kas pakett jäeti kõrvale, lükati tagasi või võeti vastu ja läks hiljem kaduma, kui te ei loe reeglit, millele loendur kuulub.

Siin tuleb mängu metaandmete logimine, ja ulatus on kogu mõte. Logige liides, suund, aadressid, protokoll ja otsus konkreetse testvoo jaoks. Need väljad lokaliseerivad ebaõnnestunud piiri, ilma et registreeritaks, mida kasutaja tegi.

Kasuliku koormuse logimine vastab teisele küsimusele ja vastab sellele kõigi kohta liidesel.

Metaandmete logimine kitsa ulatusega

Kirjutage reegel, mis sobib ainult teie testvooga, andke sellele eristuv eesliide ja piirake selle kiirust platvormi enda juhtelementide all, et tavaline korduskatse salvestusruumi üle ei ujutaks. Eesliide on see, mis lubab teil oma kirjeid leida kõige muu hulgas, mida seade logib.

Vältige kasuliku koormuse või piiramatu paketilogimise lubamist ainult seetõttu, et funktsioon on olemas. Kärbitud salvestus ei ole automaatselt ka kasuliku koormuseta, kuna päiste suurused ja pakettide paigutused erinevad, nii et väikesena näiv snap-pikkus võib siiski rakenduse baite kanda.

Kui peate salvestama, salvestage üks voog, piiratud ajaks, väikseima snap-pikkusega, mis teie küsimusele vastab.

Sobitage üks värske päring

Looge kahjutu liiklus, mis järgib tegelikku kliendi marsruuti, ja võrrelge seejärel asjakohaseid loendureid enne ja pärast. Gateway-lokaalne test võib edastusreegli täielikult mööda lasta, sest pakett ei lähe kunagi edastusteele. Kehtestatud sessioon võib samuti sobida uuest ühendusest erineva olekukäsitlusega, nii et pikaajaline voog ei asenda värsket.

Piirake aken ajaliselt ja kirjutage see üles. Kahe kindla minuti vahel, sellest kliendi aadressist, sellesse sihtkohta sellel protokollil on diagnoos. Kusagil täna hommikul on otsing.

Üks voog, üks aken, üks piir on siin edenemise ühik.

Puhastage ja hoidke ainult väljavõte

Eemaldage ajutine diagnostikareegel omaniku konfiguratsiooni kaudu, kui uurimine lõpeb. Paigale jäänud kitsas logimisreegel muutub soovimatuks kirjesüsteemiks ja kuus kuud hiljem ei mäleta keegi, miks see olemas on.

Hoidke algseid kirjeid privaatselt, kui poliitika seda nõuab, ja jagage üle vaadatud minimaalset väljavõtet kogu salvestuse asemel. Aadressid, konto identifikaatorid ja sisemine topoloogia on tundlikud ka siis, kui kasulikku koormust pole. Käsitlege väljavõtet omanikuga dokumendina. Redigeerige kõik, mida diagnoos ei vaja.

Eesmärk on konkreetne ebaõnnestunud piir konkreetse päringu jaoks. Kõik, mis loob täieliku arhiivi kõigist VPN-i kasutajatest, on diagnoosi ületanud ja alustanud teist projekti. Enne millegi lisamist kontrollige platvormi logimisdokumentatsioonist, mida see vaikimisi salvestab.