Пакеттерди алыстан кармоо: сенсор ордунда калат, аналитик алыста

Пакеттерди кармоо пакеттер мурунтан агып жаткан жерге таандык, ал эми алыстагы аналитик ал жерде сейрек отурат. Иштей турган түзүлүш — байкалган сегменттеги сенсор жана бүткүл чагылдырылган байланышты эмес, башкаруу менен алууну ташыган VPN. Бул бөлүнүү аналитиктин ноутбугун кармоо жолунан тышкары кармайт жана купуя жүктөрдү ордунда калтырат. Төмөнкү кадамдар интерфейсти тандайт, файлды чектейт жана суроого керектелишин гана жылдырат.

Алыстагы ноутбук тийүү чекити эмес

Тармакка VPN аркылуу кошулуу машинаңызга сенсорго чейин маршрут берет, башка хосттордун ортосундагы трафикти көрүүнү эмес. Ноутбугуңузда алынган кармоо ноутбугуңуздун интерфейсине жеткирилген пакеттерди гана көрөт. Коммутацияланган байланышты байкоо үчүн тармактын ээси ордундагы сенсорду азыктандырган күзгү же бутак бериши керек. Ошондо да күзгүнүн чеги бар, анткени ашыкча жүктөлгөн даректер кадрларды таштайт жана дарбаза ошол эле VLAN ичинде калган трафикти эч качан көрбөйт.

Шифрленген агым сенсордо да шифрленген бойдон калат, анткени TLS жүгү учтарына таандык. Кармоо аталыштарды, убакытты жана көлөмдү берет, ачык текстти эмес.

Агымды көрө алган интерфейсти тандаңыз

Бир нерсени чыпкалоодон мурун интерфейстерди тизмелеп, суралган жолду кайсынысы алып жүргөнүн ырастаңыз. Физикалык порт, бириктирүү жана көпүрөнүн ортосунда божомолдоо бош файл жыйноонун күнүмдүк жолу.

ip -br link
dumpcap -D

Интерфейстин атын өзгөрүү жазуусундагы байкоо чекитине дал келтириңиз, башка хосттон эсте калган атка эмес. Кызмат көрүнүчтүү бош эмес кезде пакет саны нөлдө калса, сенсор туура эмес сегментте турат же күзгү каршы багытка жөндөлгөн. Адегенде жолду белгилүү алмашуу менен далилдеңиз, сынган күзгү тынч колдонмо деп кабыл алынбасын. Интерфейс жана күзгү маалыматтарын азырынча жаңы кезинде кармоо жазууларына жазыңыз.

Кармоону чыпка жана шакек менен чектеңиз

Чексиз кармоо дискти толтурат жана суроо талап кылгандан көп жыйнайт. Уруксат берилген булакты, багытты жана протоколду чыпкага салыңыз, анан файлдын өлчөмүн жана файлдардын санын чектеңиз.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Жогорудагы дарек жана порт документтештирүү диапазонунун мисалдары, ошондуктан аларды бекитилген маанилер менен алмаштырыңыз жана терезе далилдер шакектен өтүп кетишиндей кыска болсун. Сүрөт узундугу аталыштарды сактап жүктү кесип салат, бул адатта туташуу суроосуна жетет жана сактоого алда канча оңой. tcpdump чыкканда баскан өзөк таштоо сабын окуңуз, анткени таштоонун көптүгү кармоонун тынч эмес, толук эмес экенин билдирет. Шакек үстүнөн жазганга чейин керектүү терезени сактап калыңыз жана чыпка сабын файлдын атынын жанына жазыңыз.

Бүт байланышты эмес, файлды жылдырыңыз

Даяр кармоону күзгүнү WAN аркылуу агылтуунун ордуна башкаруу каналы аркылуу алыңыз. Бир өткөрүүнү уруксаттоо, жазуу жана өчүрүү үзгүлтүксүз экспортко караганда оңой.

scp [email protected]:/var/tmp/cap.pcap ./

Файлды оператор эсебине гана окула тургандай кармаңыз жана талдоо көчүрмөсү текшерилгенден кийин аны сенсордон өчүрүңүз. Эгер тике экспорт чынында талап болсо, күзгү инкапсуляциясын жана транспортту чогуу өлчөңүз, анткени кошумча жүк байланыш бюджетинан ашып кетиши мүмкүн. Көрүнүү кемчиликтерин кандай болбосун жазыңыз, анткени кармоо белгилүү байкоо чекити бар далил, тармактын толук жазуусу эмес.