Trovare i pacchetti VPN scartati senza catturarne il contenuto

Il contatore di un firewall aumenta quando un pacchetto corrisponde a una regola, e lo fa senza conservare il pacchetto. Basta per rispondere alla prima domanda nella maggior parte delle indagini sugli scarti: il flusso ha raggiunto questa regola. La cattura del payload risponde a un'altra domanda e raccoglie tutto il resto che attraversa l'interfaccia mentre è in esecuzione. Parti dal contatore e passa alla registrazione dei metadati solo quando il contatore è ambiguo.

I contatori rispondono alla prima domanda

Ogni regola che può corrispondere ha un contatore, e leggerlo prima e dopo un test dice se il traffico è arrivato. È un confronto tra due numeri e non un archivio, e non costa nulla in archiviazione o esposizione.

Leggi i contatori con lo strumento che possiede le regole:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Il delta è la prova. Una regola il cui contatore non si muove non ha mai visto il flusso, il che indica un confine precedente: l'interfaccia sbagliata, la tabella sbagliata o una rotta che non ha mai inviato il pacchetto lì. Una regola il cui contatore si muove e che comunque scarta ti dice che la politica fa ciò per cui è stata scritta.

Cosa un contatore non può dirti

Un contatore ti dà un numero, non un motivo. Non può distinguere un pacchetto che ha corrisposto sull'indirizzo da uno che ha corrisposto sulla porta, e non può dirti quale di due regole simili ha catturato il flusso. Non può nemmeno dire se il pacchetto è stato scartato, rifiutato o accettato e poi perso, a meno che tu non legga la regola che possiede il contatore.

Qui entra la registrazione dei metadati, e l'ambito è tutto il punto. Registra interfaccia, direzione, indirizzi, protocollo e verdetto per un flusso di test specifico. Quei campi individuano un confine fallito senza registrare cosa stava facendo l'utente.

La registrazione del payload risponde a un'altra domanda, e la risponde su tutti coloro che sono sull'interfaccia.

Registrazione dei metadati con ambito ristretto

Scrivi una regola che corrisponda solo al tuo flusso di test, dalle un prefisso distintivo e limitane la frequenza sotto i controlli della piattaforma stessa, così che un normale nuovo tentativo non inondi l'archiviazione. Il prefisso è ciò che ti permette di trovare le tue voci tra tutto il resto che il dispositivo registra.

Evita di abilitare la registrazione del payload o dei pacchetti senza restrizioni solo perché la funzione esiste. Anche una cattura troncata non è automaticamente priva di payload, poiché le dimensioni delle intestazioni e i layout dei pacchetti variano, quindi una lunghezza di cattura che sembra piccola può comunque trasportare byte dell'applicazione.

Se devi catturare, cattura un solo flusso, per un tempo limitato, con la più piccola lunghezza di cattura che risponde alla tua domanda.

Fai corrispondere una richiesta nuova

Genera traffico innocuo che segua il percorso reale del client, poi confronta i contatori rilevanti prima e dopo. Un test locale sul gateway può mancare del tutto una regola di inoltro, perché il pacchetto non prende mai il percorso di inoltro. Una sessione stabilita può anche corrispondere a una gestione dello stato diversa da una nuova connessione, quindi un flusso di lunga durata non sostituisce uno nuovo.

Limita la finestra nel tempo e scrivila. Tra due minuti specificati, da questo indirizzo client, verso questa destinazione su questo protocollo è una diagnosi. A un certo punto di stamattina è una ricerca.

Un flusso, una finestra, un confine è l'unità di progresso qui.

Pulisci e conserva solo l'estratto

Rimuovi la regola diagnostica temporanea tramite la configurazione proprietaria quando l'indagine finisce. Una regola di registrazione ristretta lasciata sul posto diventa un sistema di registrazione non intenzionale, e nessuno ricorda perché esiste sei mesi dopo.

Conserva le registrazioni originali in privato quando la politica lo richiede, e condividi un estratto minimo rivisto anziché l'intera cattura. Indirizzi, identificatori di account e topologia interna sono sensibili anche quando non è presente alcun payload. Tratta l'estratto come un documento con un proprietario. Oscura tutto ciò che la diagnosi non richiede.

L'obiettivo è un confine fallito specifico per una richiesta specifica. Qualunque cosa produca un archivio completo di tutti gli utenti della VPN ha superato la diagnosi e iniziato un altro progetto. Controlla la documentazione di registrazione della piattaforma su cosa registra per impostazione predefinita prima di aggiungere qualcosa.