VPN серверіндегі кіріс ескертуі: бақылау нүктесін оқыңыз

VPN артындағы сервер өзінің жария қызмет жазбаларын ұстайды, ал адамдар оларды табуын жалғастырады. Ескерту кезегіне бір табылым емес, үш ықтимал табылым келеді және олар әртүрлі нәрсені білдіреді. Бірінші міндет — ашық қызметті ашық тіркелгі деректерінен ажырату.

Бақылау нүктелерін ретімен өтіңіз. Дәлел санатты өзгерткенде тоқтаңыз, себебі келесі кезең басқа сұраққа жауап береді.

Бірінші кезең: түсіру шын мәнінде нені көрді

Пакеттерді түсіру өз нүктесінде жолда көрінгенді жазады. Бұл нүкте кейінгі сүзгілеу шешімінің алдында тұруы мүмкін. Түсірілген пакет трафиктің сол жерге жеткенін дәлелдейді. Ол кейін не болғаны туралы ештеңе дәлелдемейді.

Интерфейске де назар аударыңыз. Жария адаптердегі түсіру және туннель ішіндегі түсіру әртүрлі келу нүктелерін сипаттайды, ал қатесін келтірген ескерту қате қорытындыға әкеледі.

Windows стектің бірнеше қабатында сүзгілейді, сондықтан түсіру құралы екінші қабатта, ал файрвол үшінші қабатта отыратын реттелген модель нақты өніммен жанасуға шыдамайды. Windows Filtering Platform шолуы стек қабаттары бойынша сүзгілеуді сипаттайды, сондықтан бақылау ретін болжамдамай, анықтау қажет.

Екінші кезең: қабылдамау жазбасы нені анықтайды

Қабылдамау жазбасы саясат шекарасы бұл пакетті қабылдамағанын айтады. Бұл күшті дәлел. Бұл сонымен қатар тар дәлел, себебі бір шекарадағы бір шешімді ғана қамтиды. Стектегі басқа ештеңе онымен сипатталмайды.

Tuple мен уақыт белгісі бойынша сәйкестендіріңіз. Бірдей көз, бірдей межелі орын, бірдей порт, сол секундтың ішінде. Ол сәйкестік болмаса, басқа журналда ұқсас көрінетін оқиға жай ғана басқа оқиға, ал оларды жұптау ешкім қорғай алмайтын әңгіме жасайды.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Жабық порт пен қабылданбаған пакет сырттан бірдей көрінеді және осы екі шығуда мүлде басқаша. Дәл осы айырмашылық жергілікті жазбаны оқудың бүкіл себебі.

Үшінші кезең: аутентификация оқиғасы нені дәлелдейді

Аутентификация оқиғасы компонент сұранысты нәтижені жазуға жеткілікті өңдегенін айтады. Үш кезеңнің ішінде тек осысы ғана сәйкестік туралы айтады және оған дейін қанша пакет келгені туралы ештеңе демейді.

Оқиғаның нақты контекстін оқыңыз. Жоқ тіркелгі үшін сәтсіз кіру — сканерлеу шуы. Нақты тіркелгі үшін сенімді көзден сәтсіз кіру — басқа басымдық. Сәтті сессия — мүлде басқа оқиға санаты.

Протокол атауларына да назар аударыңыз. RPC және RDP — бөлек порттары бар бөлек қызметтер. Біреуін қадағалайтын детектор екіншісін қамтымайды. Желі белсенділігін қорытатын құралдар оқиғаны екеуінің қайсысы тудырғанын әрдайым айта бермейді.

Бір сәйкестендірілген үлгі тақтадан артық

Бір рұқсат етілген сынақ таңдаңыз, оны әдейі іске қосыңыз және басынан аяғына дейін бақылаңыз: межелі мекенжай мен интерфейс, нақты көз мекенжайы, қызмет порты, қолданыстағы файрвол профилі мен ережесі, және сәйкес қызмет нәтижесі. Осы тізбекке кез келген жоғары деңгейдегі бейнелеуді немесе бұлттық файрволды қосыңыз, себебі ондағы рұқсат ететін ереже реттелген жергілікті ережені басып кетуі мүмкін.

Содан кейін екі міндеттемені ажыратыңыз. Егер әкімшілік тек VPN арқылы болуы керек болса, оны жария және туннель жолында да қамтамасыз етіп, бекітілген қалпына келтіру жолын сақтаңыз. Қабылданбаған әрекетті бақылау сервер нені қабылдауы керегін шешумен бірдей міндет емес.

Географиялық ереже немесе бұғатталған қатысы жоқ протокол байқалған кіруді және оның алған шешімін табуды алмастырмайды. VPN де алмастырмайды: шығыс трафигін туннель арқылы өткізу кіріс авторизациясы туралы ештеңе құжаттамайды.