Temukan paket VPN yang dijatuhkan tanpa menangkap isinya

Penghitung firewall bertambah saat paket cocok dengan aturan, dan melakukannya tanpa menyimpan paket. Itu cukup untuk menjawab pertanyaan pertama di sebagian besar penyelidikan penjatuhan: apakah aliran itu sampai ke aturan ini. Penangkapan muatan menjawab pertanyaan lain, dan mengumpulkan apa pun yang melintasi antarmuka saat berjalan. Mulailah dengan penghitung, dan beralihlah ke pencatatan metadata hanya ketika penghitungnya ambigu.

Penghitung menjawab pertanyaan pertama

Setiap aturan yang bisa cocok punya penghitung, dan membacanya sebelum dan sesudah pengujian memberi tahu apakah lalu lintas tiba. Itu perbandingan dua angka, bukan arsip, dan tidak memakan biaya penyimpanan atau paparan.

Baca penghitung dengan alat yang memiliki aturan tersebut:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Deltanya adalah buktinya. Aturan yang penghitungnya tidak bergerak tidak pernah melihat aliran itu, yang menunjuk ke batas yang lebih awal: antarmuka yang salah, tabel yang salah, atau rute yang tidak pernah mengirim paket ke sana. Aturan yang penghitungnya bergerak dan tetap menjatuhkan memberi tahu bahwa kebijakan melakukan apa yang ditulis untuk dilakukannya.

Apa yang tidak bisa diberitahukan penghitung

Penghitung memberi Anda angka, bukan alasan. Ia tidak bisa membedakan paket yang cocok pada alamat dari yang cocok pada port, dan tidak bisa memberi tahu aturan mana dari dua aturan serupa yang menangkap aliran itu. Ia juga tidak bisa memberi tahu apakah paket dijatuhkan, ditolak, atau diterima lalu hilang nanti, kecuali Anda membaca aturan yang memiliki penghitung itu.

Di sinilah pencatatan metadata masuk, dan cakupannya adalah inti persoalan. Catat antarmuka, arah, alamat, protokol, dan putusan untuk aliran uji tertentu. Kolom-kolom itu menemukan batas yang gagal tanpa merekam apa yang dilakukan pengguna.

Pencatatan muatan menjawab pertanyaan lain, dan menjawabnya tentang semua orang di antarmuka.

Pencatatan metadata dengan cakupan sempit

Tulis aturan yang hanya cocok dengan aliran uji Anda, beri awalan yang khas, dan batasi lajunya di bawah kendali platform itu sendiri agar percobaan ulang biasa tidak membanjiri penyimpanan. Awalan itulah yang memungkinkan Anda menemukan entri Anda di antara semua yang dicatat perangkat.

Hindari mengaktifkan pencatatan muatan atau paket tanpa batas hanya karena fiturnya ada. Tangkapan terpotong juga tidak otomatis bebas muatan, karena ukuran header dan tata letak paket berbeda-beda, sehingga panjang snap yang tampak kecil masih bisa membawa byte aplikasi.

Jika harus menangkap, tangkaplah satu aliran, untuk waktu terbatas, dengan panjang snap terkecil yang menjawab pertanyaan Anda.

Cocokkan satu permintaan baru

Hasilkan lalu lintas tak berbahaya yang mengikuti rute klien sebenarnya, lalu bandingkan penghitung yang relevan sebelum dan sesudahnya. Uji lokal di gateway bisa melewatkan aturan penerusan sepenuhnya, karena paket tidak pernah menempuh jalur penerusan. Sesi yang sudah terbentuk juga bisa cocok dengan penanganan status yang berbeda dari koneksi baru, jadi aliran berumur panjang bukan pengganti aliran baru.

Batasi jendela waktunya dan tuliskan. Antara dua menit tertentu, dari alamat klien ini, ke tujuan ini pada protokol ini adalah diagnosis. Suatu saat pagi ini adalah pencarian.

Satu aliran, satu jendela, satu batas adalah satuan kemajuan di sini.

Bersihkan dan simpan hanya kutipannya

Hapus aturan diagnostik sementara melalui konfigurasi pemiliknya begitu penyelidikan selesai. Aturan pencatatan sempit yang dibiarkan di tempatnya menjadi sistem pencatatan yang tidak diinginkan, dan tidak ada yang ingat mengapa aturan itu ada enam bulan kemudian.

Simpan catatan asli secara privat bila kebijakan menuntutnya, dan bagikan kutipan minimal yang telah ditinjau alih-alih seluruh tangkapan. Alamat, pengenal akun, dan topologi internal bersifat sensitif bahkan saat tidak ada muatan. Perlakukan kutipan sebagai dokumen yang punya pemilik. Redaksi apa pun yang tidak dibutuhkan diagnosis.

Tujuannya adalah batas gagal yang spesifik untuk permintaan yang spesifik. Apa pun yang menghasilkan arsip lengkap semua orang yang memakai VPN telah melampaui diagnosis dan memulai proyek lain. Periksa dokumentasi pencatatan platform tentang apa yang dicatat secara default sebelum Anda menambahkan apa pun.