Ynkommende warskôging op in VPN-tsjinner: lês it observaasjepunt

In tsjinner efter in VPN hâldt syn iepenbiere tsjinstynfieringen, en minsken bliuwe se fine. Wat yn 'e warskôgingswachtrige komt, is net ien fynst mar trije mooglike, en se betsjutte ferskillende dingen. De earste taak is in bleatsteld tsjinst fan in bleatstelde legitimacyf te skieden.

Wurkje de observaasjepunten yn folchoarder troch. Stopje as it bewiis fan kategory feroaret, want de folgjende faze beantwurdet in oare fraach.

Faze ien: wat de opfang eins seach

In pakketopfang registrearret wat op syn eigen punt op it paad sichtber wie. Dat punt kin foar in lettere filterbeslissing lizze. In opfongen pakket bewissiget dat it ferkear dêr oankaam. It bewissiget neat oer wat dêrnei barde.

Let ek op de ynterface. In opfang op de iepenbiere adapter en in opfang binnen de tunnel beskriuwe ferskillende oankomstpunten, en in warskôging dy't de ferkearde sitearret liedt ta de ferkearde konklúzje.

Windows filtert ek op ferskate lagen fan 'e stack, dus it oardelike model wêryn't it opfangark op laach twa sit en de firewall op laach trije oerlibbet it kontakt mei in echt produkt net. It oersjoch fan Windows Filtering Platform beskriuwt filtering oer stacklagen, en dêrom moat de observaasjeoarder fêststeld wurde ynstee fan oannommen.

Faze twa: wat it drop-register fêststelt

In drop-register seit dat in beliedsgrens dat pakket wegere hat. Dat is sterk bewiis. It is ek smal bewiis, want it beslacht ien beslissing by ien grins. Neat oars yn 'e stack wurdt dêrtroch beskreaun.

Korrelearje op de tuple en de tiidstimpel. Deselde boarne, deselde bestimming, deselde poarte, binnen deselde sekonde. Sûnder dy oerienkomst is in gelyktsjende barren yn in oar log gewoan in oar barren, en it pearjen fan harren produsearret in ferhaal dat nimmen ferdigenje kin.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

In sletten poarte en in weilitten pakket sjogge fan bûten itselde út en binne yn dizze twa útfieringen hielendal oars. Dat ferskil is de hiele reden om it lokale register te lêzen.

Faze trije: wat it autentikaasjebarren bewissiget

In autentikaasjebarren seit dat in komponint it fersyk fier genôch ferwurke hat om in resultaat te registrearjen. It is it iennige fan 'e trije fazen dat oer identiteit praat, en it seit neat oer hoefolle pakketten der foarôf oankamen.

Lês de werklike kontekst fan it barren. In mislearre oanmelding foar in akkount dat net bestiet is lûd fan scanning. In mislearre oanmelding foar in echt akkount fan in leauwensweardige boarne is in oare prioriteit. In slagge sesje is in hiel oare ynsidintkategory.

Let ek op de protokolnammen. RPC en RDP binne aparte tsjinsten mei aparte poarten. In detektor dy't ien fan beiden besjocht, dekt de oare net. Ark dat netwurkaktiviteit gearfettet, seit net altyd hokker fan 'e twa it barren makke hat.

Ien korrelearre meunster ferslacht in dashboard

Kies ien autorisearre test, fier dy mei opsetsin út en folgje him fan begjin oant ein: bestimmingsadres en ynterface, wiere boarne-adres, tsjinstpoarte, jildich firewallprofyl en -regel, en it oerienkommende tsjinstresultaat. Nim alle streamopkartearring of cloudfirewall yn dy keatling op, want in tasteande regel dêr kin in oardelike lokale regel oermasterje.

Skied dan de twa ferplichtingen. As behear allinnich fia VPN wêze moat, twing dat dan ôf op sawol it iepenbiere as it tunnelpaad, wylst in goedkarde werstelrûte beholden bliuwt. It monitorjen fan in wegere poging is net deselde taak as beslute wat de tsjinner oannimme moat.

In geografyregel of in blokkearre net-relatearre protokol ferfangt it finen fan 'e observearre yngong en de beslissing dy't dy krige net. In VPN ek net: it troch in tunnel stjoeren fan útgeand ferkear dokumintearret neat oer ynkommende autorisaasje.