یافتن بسته‌های VPN حذف‌شده بدون ضبط محتوای آن‌ها

شمارنده دیوار آتش وقتی بسته‌ای با قاعده‌ای مطابقت می‌کند افزایش می‌یابد و این کار را بدون نگه‌داشتن بسته انجام می‌دهد. همین برای پاسخ به نخستین پرسش در بیشتر بررسی‌های حذف کافی است: آیا جریان اصلاً به این قاعده رسید. ضبط محتوا به پرسش دیگری پاسخ می‌دهد و هر چیز دیگری را که در حین اجرا از رابط می‌گذرد جمع می‌کند. با شمارنده شروع کنید و تنها وقتی شمارنده مبهم است به ثبت فراداده بروید.

شمارنده‌ها به پرسش نخست پاسخ می‌دهند

هر قاعده‌ای که می‌تواند مطابقت کند شمارنده دارد و خواندن آن پیش و پس از یک آزمون می‌گوید ترافیک رسیده است یا نه. این مقایسه دو عدد است نه بایگانی، و هیچ هزینه‌ای در ذخیره‌سازی یا افشا ندارد.

شمارنده‌ها را با ابزاری بخوانید که مالک قواعد است:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

دلتا شاهد است. قاعده‌ای که شمارنده‌اش تکان نمی‌خورد هرگز جریان را ندیده است، که به مرزی زودتر اشاره می‌کند: رابط اشتباه، جدول اشتباه یا مسیری که هرگز بسته را به آنجا نفرستاد. قاعده‌ای که شمارنده‌اش تکان می‌خورد و باز هم حذف می‌کند به شما می‌گوید سیاست همان کاری را می‌کند که برایش نوشته شده است.

چیزی که شمارنده نمی‌تواند به شما بگوید

شمارنده به شما عدد می‌دهد نه دلیل. نمی‌تواند بسته‌ای را که بر پایه نشانی مطابقت کرده از بسته‌ای که بر پایه درگاه مطابقت کرده جدا کند، و نمی‌تواند بگوید کدام یک از دو قاعده مشابه جریان را گرفته است. همچنین نمی‌تواند بگوید بسته حذف شد، رد شد یا پذیرفته و بعد گم شد، مگر آنکه قاعده‌ای را بخوانید که مالک شمارنده است.

این‌جاست که ثبت فراداده وارد می‌شود و دامنه تمام ماجراست. رابط، جهت، نشانی‌ها، پروتکل و حکم را برای یک جریان آزمون مشخص ثبت کنید. این میدان‌ها مرز شکست‌خورده را بدون ثبت آنچه کاربر انجام می‌داد پیدا می‌کنند.

ثبت محتوا به پرسش دیگری پاسخ می‌دهد و آن را درباره همه روی رابط پاسخ می‌دهد.

ثبت فراداده با دامنه‌ای باریک

قاعده‌ای بنویسید که فقط با جریان آزمون شما مطابقت کند، پیشوندی متمایز به آن بدهید و نرخش را زیر کنترل‌های خود پلتفرم محدود کنید تا یک تلاش دوباره معمولی ذخیره‌سازی را سیل نکند. پیشوند همان چیزی است که به شما امکان می‌دهد ورودی‌های خود را در میان هر چیز دیگری که دستگاه ثبت می‌کند پیدا کنید.

از فعال کردن ثبت محتوا یا ثبت نامحدود بسته فقط به این دلیل که این قابلیت وجود دارد بپرهیزید. ضبط بریده نیز به‌طور خودکار بدون محتوا نیست، چون اندازه سرآیندها و چیدمان بسته‌ها متفاوت است، پس طول عکسی که کوچک به نظر می‌رسد باز هم می‌تواند بایت‌های برنامه را حمل کند.

اگر باید ضبط کنید، یک جریان را ضبط کنید، برای زمانی محدود، با کوچک‌ترین طول عکسی که به پرسش شما پاسخ می‌دهد.

یک درخواست تازه را مطابقت دهید

ترافیک بی‌ضرری تولید کنید که مسیر واقعی کارخواه را دنبال کند، سپس شمارنده‌های مربوط را پیش و پس مقایسه کنید. یک آزمون محلی روی دروازه می‌تواند قاعده ارسال را کاملاً از دست بدهد، چون بسته هرگز مسیر ارسال را نمی‌گیرد. نشست برقرارشده هم می‌تواند با پردازش وضعیت متفاوتی از یک اتصال تازه مطابقت کند، پس جریان دیرپا جایگزین جریان تازه نیست.

پنجره را زمان‌بندی کنید و آن را بنویسید. بین دو دقیقه مشخص، از این نشانی کارخواه، به این مقصد روی این پروتکل یک تشخیص است. جایی امروز صبح یک جستجو است.

یک جریان، یک پنجره، یک مرز، واحد پیشرفت در این‌جاست.

پاک‌سازی کنید و تنها گزیده را نگه دارید

قاعده تشخیصی موقت را از راه پیکربندی مالک، پس از پایان بررسی بردارید. قاعده ثبت باریکی که در جای خود بماند به سامانه ثبت ناخواسته‌ای تبدیل می‌شود و هیچ‌کس شش ماه بعد یادش نمی‌آید چرا وجود دارد.

وقتی سیاست می‌خواهد سوابق اصلی را خصوصی نگه دارید و به‌جای کل ضبط، گزیده کمینه بازبینی‌شده را به اشتراک بگذارید. نشانی‌ها، شناسه‌های حساب و توپولوژی داخلی حتی وقتی محتوایی نیست حساس‌اند. با گزیده مانند سندی با مالک رفتار کنید. هر چیزی را که تشخیص لازم ندارد بپوشانید.

هدف یک مرز شکست‌خورده مشخص برای یک درخواست مشخص است. هر چیزی که بایگانی کامل همه کاربران VPN را تولید کند از تشخیص فراتر رفته و پروژه دیگری آغاز کرده است. پیش از افزودن چیزی، مستندات ثبت پلتفرم را ببینید که به‌طور پیش‌فرض چه ثبت می‌کند.