Atope paquetes VPN descartados sen capturar o seu contido

O contador dunha devasa incrementa cando un paquete coincide cunha regra, e faino sen conservar o paquete. Iso abonda para responder a primeira pregunta na maioría das investigacións de descarte: se o fluxo chegou a esta regra. A captura da carga útil responde outra pregunta e recolle todo o demais que cruza a interface mentres se executa. Empece polo contador e pase ao rexistro de metadatos só cando o contador sexa ambiguo.

Os contadores responden a primeira pregunta

Toda regra que poida coincidir ten un contador, e lelo antes e despois dunha proba indica se chegou o tráfico. É unha comparación de dous números e non un arquivo, e non custa nada en almacenamento nin en exposición.

Lea os contadores coa ferramenta que posúe as regras:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

O delta é a proba. Unha regra cuxo contador non se move nunca viu o fluxo, o que apunta a un límite anterior: a interface equivocada, a táboa equivocada ou unha ruta que nunca enviou o paquete alí. Unha regra cuxo contador se move e aínda así descarta dille que a política fai o que se escribiu para facer.

Que non pode dicirlle un contador

Un contador dálle un número, non unha razón. Non pode distinguir un paquete que coincidiu por enderezo dun que coincidiu por porto, nin pode dicirlle cal de dúas regras similares atrapou o fluxo. Tampouco pode dicirlle se o paquete se descartou, se rexeitou ou se aceptou e logo se perdeu, a menos que lea a regra que posúe o contador.

Aquí entra o rexistro de metadatos, e o alcance é todo o asunto. Rexistre a interface, a dirección, os enderezos, o protocolo e o veredicto para un fluxo de proba concreto. Eses campos localizan un límite fallido sen rexistrar que facía o usuario.

O rexistro da carga útil responde outra pregunta, e respóndea sobre todos na interface.

Rexistro de metadatos con alcance reducido

Escriba unha regra que coincida só co seu fluxo de proba, déalle un prefixo distintivo e limite a súa taxa baixo os controis propios da plataforma para que un reintento ordinario non inundar o almacenamento. O prefixo é o que lle permite atopar as súas entradas entre todo o demais que rexistra o dispositivo.

Evite activar o rexistro de carga útil ou de paquetes sen restricións só porque a función existe. Unha captura truncada tampouco queda libre de carga útil automaticamente, xa que os tamaños de cabeceira e os deseños de paquete varían, así que unha lonxitude de captura que parece pequena aínda pode levar bytes de aplicación.

Se debe capturar, capture un só fluxo, durante un tempo acoutado, coa menor lonxitude de captura que responda á súa pregunta.

Faga coincidir unha solicitude nova

Xere tráfico inofensivo que siga a ruta real do cliente e despois compare os contadores relevantes antes e despois. Unha proba local na pasarela pode pasar por alto por completo unha regra de reenvío, porque o paquete nunca toma a ruta de reenvío. Unha sesión establecida tamén pode coincidir cun manexo de estado distinto ao dunha conexión nova, así que un fluxo prolongado non substitúe un novo.

Acooute a ventá no tempo e anótea. Entre dous minutos concretos, desde este enderezo de cliente, cara a este destino neste protocolo é un diagnóstico. Nalgún momento desta mañá é unha busca.

Un fluxo, unha ventá, un límite é a unidade de progreso aquí.

Limpe e conserve só o extracto

Retire a regra de diagnóstico temporal a través da configuración propietaria en canto remate a investigación. Unha regra de rexistro estreita que se deixa no seu sitio convértese nun sistema de rexistro non previsto, e ninguén lembra por que existe seis meses despois.

Manteña os rexistros orixinais en privado cando a política o esixa e comparta un extracto mínimo revisado en lugar de toda a captura. Os enderezos, os identificadores de conta e a topoloxía interna son sensibles mesmo cando non hai carga útil. Trate o extracto como un documento con propietario. Redacte todo o que o diagnóstico non precisa.

O obxectivo é un límite fallido concreto para unha solicitude concreta. Calquera cousa que produza un arquivo completo de todos os que usan a VPN superou o diagnóstico e comezou outro proxecto. Consulte a documentación de rexistro da plataforma para saber que rexistra por defecto antes de engadir algo.