Innkoma viðvörun á VPN-þjóni: lestu athugunarpunktinn

Þjónn á bak við VPN heldur opinberum þjónustufærslum sínum, og fólk heldur áfram að finna þær. Það sem berst í viðvörunarröðina er ekki ein niðurstaða heldur þrjár mögulegar, og þær þýða ólíka hluti. Fyrsta verk er að aðskilja opna þjónustu frá opnu auðkenni.

Farðu í gegnum athugunarpunktana í röð. Stoppaðu þegar sönnunin skiptir um flokk, því næsta stig svarar annarri spurningu.

Fyrsta stig: hvað upptakan sá í raun

Pökkaupptaka skráir það sem sýnilegt var á eigin punkti hennar á leiðinni. Sá punktur getur verið fyrir síðari síunarákvörðun. Upptekið pakki sannar að umferðin kom þangað. Það sannar ekkert um hvað gerðist á eftir.

Taktu eftir tenginu líka. Upptaka á opinberu millistykkjunni og upptaka inni í göngunum lýsa ólíkum komupunktum, og viðvörun sem vitnar í rangann leiðir til rangrar niðurstöðu.

Windows síar líka á nokkrum lögum staflans, svo snyrtilega módelið þar sem upptökutólið situr á lagi tvö og eldveggurinn á lagi þrjú lifir ekki kynni við raunverulega vöru. Yfirlit Windows Filtering Platform lýsir síun yfir lög staflans, og þess vegna verður að staðfesta röð athugunar í stað þess að gera ráð fyrir henni.

Annað stig: hvað sleppingarfærslan staðfestir

Sleppingarfærsla segir að stefnumörk hafi hafnað þeim pakka. Þetta eru sterk sönnunargögn. Þau eru líka þröng, því þau ná yfir eina ákvörðun á einni mörk. Ekkert annað í staflanum er lýst af henni.

Tengdu á tuple-inu og tímastimplinum. Sami uppruni, sama áfangastaður, sama gátt, innan sömu sekúndu. Án þess samræmis er svipaður atburður í annarri skrá bara annar atburður, og pörun þeirra framleiðir sögu sem enginn getur varið.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Lokuð gátt og sleppt pakki líta eins út að utan og eru gjörólík í þessum tveimur úttökum. Sá munur er öll ástæðan til að lesa staðbundnu færsluna.

Þriðja stig: hvað auðkenningaratburðurinn sannar

Auðkenningaratburður segir að hluti hafi unnið beiðnina nógu langt til að skrá niðurstöðu. Hann er sá eini af þremur stigum sem talar um sjálfsmynd, og hann segir ekkert um hversu margir pakkar komu á undan.

Lestu raunverulegt samhengi atburðarins. Misheppnuð innskráning fyrir reikning sem er ekki til er hávaði frá skönnun. Misheppnuð innskráning fyrir raunverulegan reikning frá trúverðugum uppruna er annar forgangur. Vel heppnuð lota er gjörólíkur atburðaflokkur.

Fylgstu líka með nöfnum samskiptareglnanna. RPC og RDP eru aðskildar þjónustur með aðskildum gáttum. Skynjari sem fylgist með annarri nær ekki yfir hina. Tól sem draga saman netvirkni segja ekki alltaf hvor tveggja framleiddi atburðinn.

Eitt tengt sýnishorn vinnur yfir mælaborð

Veldu eina leyfða prófun, keyrðu hana viljandi og fylgdu henni frá enda til enda: áfangastaðarheiti og tengi, raunverulegt upprunanetfang, þjónustugátt, virkt eldveggjarprófíll og regla, og samsvarandi þjónustuniðurstaða. Láttu hverja yfirsetningu eða skýjaeldvegg fylgja í þeirri keðju, því leyfandi regla þar getur hnekkt snyrtilegri staðbundinni.

Aðskildu svo tvær skyldur. Ef stjórnun á að vera aðeins í gegnum VPN, þá skal framfylgja því bæði á opinberu leiðinni og gönguleiðinni meðan samþykkt endurheimtarleið er haldið. Eftirlit með hafnaðri tilraun er ekki sama verk og ákvörðunin um hvað þjónninn á að samþykkja.

Landfræðiregla eða blokkuð ótengd samskiptaregla kemur ekki í staðinn fyrir að finna athugaða inngönguna og ákvörðunina sem hún fékk. VPN gerir það ekki heldur: að beina útleiðarumferð í gegnum göng dokumentar ekkert um innkomandi heimild.