VPN сервериндеги кирүү эскертүүсү: байкоо пунктун окуңуз

VPN артындагы сервер өзүнүн коомдук кызмат жазууларын сактайт, ал эми адамдар аларды табууну улантышат. Эскертүү кезегине бир табылга эмес, үч мүмкүн болгон табылга келет жана алар ар башка нерсени билдирет. Биринчи милдет — ачык кызматты ачык эсептик маалыматтан ажыратуу.

Байкоо пункттарын тартиби менен өтүңүз. Далил категорияны өзгөрткөндө токтоңуз, анткени кийинки этап башка суроого жооп берет.

Биринчи этап: түзүү чындыгында эмнени көрдү

Пакеттерди түзүү өз пунктунда жолдо көрүнгөндү жазат. Бул пункт кийинки чыпкалоо чечиминин алдында турушу мүмкүн. Түзүлгөн пакет трафик ошол жерге жеткенин далилдейт. Ал андан кийин эмне болгону жөнүндө эч нерсе далилдебейт.

Интерфейске да көңүл буруңуз. Коомдук адаптердеги түзүү жана туннелдин ичиндеги түзүү ар башка келүү пункттарын сүрөттөйт, ал эми туура эмесин келтирген эскертүү туура эмес жыйынтыкка алып барат.

Windows стектин бир нече катмарында чыпкалайт, ошондуктан түзүү куралы экинчи катмарда, ал эми файрвол үчүнчү катмарда отурган тартиптүү модель чыныгы продукт менен жолугушууга чыдабайт. Windows Filtering Platform сереби стек катмарлары боюнча чыпкалоону сүрөттөйт, ошондуктан байкоо тартибин божомолдобой, аныктоо керек.

Экинчи этап: четке кагуу жазуусу эмнени аныктайт

Четке кагуу жазуусу саясат чек арасы бул пакетти четке какканын айтат. Бул күчтүү далил. Бул ошондой эле тар далил, анткени бир чек арадагы бир чечимди гана камтыйт. Стекте башка эч нерсе аны менен сүрөттөлбөйт.

Tuple жана убакыт белгиси боюнча салыштырыңыз. Бирдей булак, бирдей багыт, бирдей порт, ошол эле секунданын ичинде. Ошол дал келүү болбосо, башка журналдагы окшош көрүнгөн окуя жөн гана башка окуя, ал эми аларды жуптоо эч ким коргой албаган окуяны жаратат.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Жабык порт жана четке кагылган пакет сырттан бирдей көрүнөт жана бул эки чыгууда таптакыр башкача. Ушул айырма жергиликтүү жазууну окуунун бүткүл себеби.

Үчүнчү этап: аутентификация окуясы эмнени далилдейт

Аутентификация окуясы компонент сурамды жыйынтыкты жазууга жеткиликтүү иштеп чыкканын айтат. Үч этаптын ичинен ушул гана инсандык жөнүндө айтат жана ага чейин канча пакет келгени тууралуу эч нерсе айтпайт.

Окуянын чыныгы контекстин окуңуз. Жок эсеп үчүн ийгиликсиз кирүү — сканерлөөнүн ызы-чуусу. Чыныгы эсеп үчүн ишенимдүү булактан ийгиликсиз кирүү — башка артыкчылык. Ийгиликтүү сессия — таптакыр башка окуя категориясы.

Протокол аталыштарына да көңүл буруңуз. RPC жана RDP — өзүнчө порттору бар өзүнчө кызматтар. Бирөөнү көзөмөлдөгөн детектор экинчисин камтыбайт. Тармак активдүүлүгүн жыйынтыктаган куралдар окуяны экөөнүн кайсынысы жаратканын дайыма айта бербейт.

Бир салыштырылган үлгү тактадан артык

Бир уруксат берилген сыноону тандаңыз, аны атайын иштетиңиз жана башынан аягына чейин көзөмөлдөңүз: багыт дареги жана интерфейс, чыныгы булак дареги, кызмат порту, колдонуудагы файрвол профили жана эрежеси, жана тиешелүү кызмат жыйынтыгы. Бул тизмекке каалаган жогорку деңгээлдеги картага түшүрүүнү же булут файрволун кошуңуз, анткени ал жердеги уруксат берүүчү эреже тартиптүү жергиликтүү эрежени басып кетиши мүмкүн.

Андан кийин эки милдеттенмени ажыратыңыз. Эгер администрациялоо VPN аркылуу гана болушу керек болсо, аны коомдук жана туннел жолунда тең аткарыңыз, бекитилген калыбына келтирүү жолун сактап. Четке кагылган аракетти көзөмөлдөө сервер эмнени кабыл алышы керектигин чечүү менен бирдей милдет эмес.

Географиялык эреже же тыюу салынган байланышсыз протокол байкалган кирүүнү жана анын алган чечимин табууну алмаштырбайт. VPN да алмаштырбайт: чыгуучу трафикти туннел аркылуу өткөрүү кирүүчү авторизация жөнүндө эч нерсе документтештирбейт.