Elejtett VPN-csomagok keresése a tartalmuk rögzítése nélkül

A tűzfal számlálója növekszik, amikor egy csomag illeszkedik egy szabályhoz, és ezt anélkül teszi, hogy megtartaná a csomagot. Ez elég az első kérdés megválaszolásához a legtöbb elejtéses vizsgálatban: eljutott-e egyáltalán a folyam ehhez a szabályhoz. A hasznos teher rögzítése más kérdésre válaszol, és összegyűjt minden mást, ami futása közben átlépi az interfészt. Kezdd a számlálóval, és csak akkor lépj tovább a metaadat-naplózásra, ha a számláló kétértelmű.

A számlálók válaszolnak az első kérdésre

Minden szabálynak, amely illeszkedhet, van számlálója, és ha egy teszt előtt és után leolvasod, megmondja, megérkezett-e a forgalom. Ez két szám összehasonlítása, nem archívum, és semmibe nem kerül tárolásban vagy kitettségben.

Olvasd le a számlálókat a szabályokat birtokló eszközzel:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

A delta a bizonyíték. Egy szabály, amelynek számlálója nem mozdul, soha nem látta a folyamot, ami egy korábbi határra mutat: a rossz interfészre, a rossz táblára vagy egy útvonalra, amely soha nem küldte oda a csomagot. Egy szabály, amelynek számlálója mozdul, és mégis elejt, azt mondja, hogy a szabályzat azt teszi, amire írták.

Amit egy számláló nem mondhat meg

A számláló számot ad, nem okot. Nem tud különbséget tenni a cím alapján illeszkedő és a port alapján illeszkedő csomag között, és nem tudja megmondani, két hasonló szabály közül melyik fogta meg a folyamot. Azt sem tudja megmondani, hogy a csomagot elejtették, elutasították, vagy elfogadták és később elveszett, hacsak nem olvasod el a számlálót birtokló szabályt.

Itt jön be a metaadat-naplózás, és a hatókör a lényeg. Naplózd az interfészt, az irányt, a címeket, a protokollt és az ítéletet egy adott tesztfolyamhoz. Ezek a mezők azonosítják a sikertelen határt anélkül, hogy rögzítenék, mit csinált a felhasználó.

A hasznos teher naplózása más kérdésre válaszol, és az interfészen mindenkire vonatkozóan válaszol.

Metaadat-naplózás szűk hatókörrel

Írj egy szabályt, amely csak a tesztfolyamodra illeszkedik, adj neki megkülönböztető előtagot, és korlátozd a sebességét a platform saját vezérlései alatt, hogy egy hétköznapi újrapróbálkozás ne árassza el a tárolót. Az előtag az, ami lehetővé teszi, hogy megtaláld a bejegyzéseidet minden más között, amit az eszköz naplóz.

Kerüld a hasznos teher vagy a korlátlan csomagnaplózás bekapcsolását csak azért, mert létezik a funkció. Egy csonkolt rögzítés sem mentes automatikusan a hasznos tehertől, mivel a fejlécek mérete és a csomagok elrendezése változó, így egy kicsinek tűnő snap-hossz még hordozhat alkalmazásbájtokat.

Ha rögzítened kell, egy folyamot rögzíts, korlátozott ideig, a legkisebb snap-hosszal, amely megválaszolja a kérdésedet.

Illessz egy friss kérést

Generálj ártalmatlan forgalmat, amely a tényleges kliensútvonalat követi, majd hasonlítsd össze a releváns számlálókat előtte és utána. Egy átjárón végzett helyi teszt teljesen kihagyhat egy továbbítási szabályt, mert a csomag soha nem a továbbítási útvonalat veszi. Egy létrejött munkamenet is eltérő állapotkezeléssel illeszkedhet, mint egy új kapcsolat, ezért egy hosszú életű folyam nem helyettesít egy frisset.

Időkorlátot adj az ablaknak, és írd le. Két megadott perc között, erről a klienscímről, erre a célra ezen a protokollon ez diagnózis. Valamikor ma reggel ez keresés.

Egy folyam, egy ablak, egy határ a haladás egysége itt.

Takaríts, és csak a kivonatot tartsd meg

Távolítsd el az ideiglenes diagnosztikai szabályt a tulajdonos konfiguráción keresztül, amint a vizsgálat véget ér. Egy ott felejtett szűk naplózási szabály nem szándékolt nyilvántartási rendszerré válik, és hat hónap múlva senki nem emlékszik, miért létezik.

Tartsd privátan az eredeti feljegyzéseket, ha a szabályzat megköveteli, és egy átnézett minimális kivonatot ossz meg a teljes rögzítés helyett. A címek, fiókazonosítók és a belső topológia érzékenyek akkor is, ha nincs hasznos teher. Kezeld a kivonatot tulajdonossal rendelkező dokumentumként. Takard ki mindazt, amire a diagnózisnak nincs szüksége.

A cél egy adott sikertelen határ egy adott kéréshez. Bármi, ami teljes archívumot készít minden VPN-használóról, túllépte a diagnózist, és más projektet kezdett. Mielőtt bármit hozzáadnál, nézd meg a platform naplózási dokumentációjában, mit rögzít alapértelmezés szerint.