Verworfene VPN-Pakete fannen, ouni hire Inhalt opzehuelen

E Firewall-Zähler erhéicht sech, wann e Paket enger Regel entsprécht, an dat mécht en, ouni d'Paket ze behalen. Dat duerft, fir déi éischt Fro an de meeschte Verworf-Untersuchungen ze beäntweren: huet de Floss dës Regel iwwerhaapt erreecht. D'Erfaasse vun der Notzlaascht beäntwert eng aner Fro an et sammelt alles aneres, wat d'Interface iwwerquert, wärend et leeft. Fänkt mam Zähler un a gitt nëmmen dann op d'Metadaten-Logging, wann den Zähler zweideuteg ass.

Zähler beäntweren déi éischt Fro

All Regel, déi ka passen, huet en Zähler, an en virun an no engem Test ze liesen seet, ob den Trafik ukomm ass. Dat ass eng Vergläichung vun zwou Zuelen an net en Archiv, an et kascht näischt u Späicher oder Expoosioun.

Liest d'Zähler mam Instrument, deem d'Regelen gehéieren:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Den Delta ass de Beweis. Eng Regel, där hire Zähler sech net beweegt, huet de Floss ni gesinn, wat op eng fréier Grenz weist: déi falsch Interface, déi falsch Tabell oder eng Route, déi d'Paket ni dohinner geschéckt huet. Eng Regel, där hire Zähler sech beweegt an déi nach ëmmer verwërft, seet Iech, datt d'Politik dat mécht, wofir se geschriwwe gouf.

Wat en Zähler Iech net ka soen

En Zähler gëtt Iech eng Zuel, net e Grond. En kann en Paket, dat op Adress gepasst huet, net vun engem ënnerscheeden, dat op Port gepasst huet, an en kann Iech net soen, wéi eng vun zwou ähnleche Regelen de Floss gefaangen huet. En kann och net soen, ob d'Paket verworf, ofgelehnt oder ugeholl an duerno verluer goung, ausser Dir liest d'Regel, déi den Zähler huet.

Hei kënnt d'Metadaten-Logging dran, an de Beräich ass déi ganz Saach. Logt d'Interface, d'Richtung, d'Adressen, de Protokoll an d'Uerteel fir e bestëmmten Testfloss. Déi Felder lokaliséiere eng feelgeschloen Grenz, ouni opzehuelen, wat de Benotzer gemaach huet.

D'Notzlaascht-Logging beäntwert eng aner Fro, an et beäntwert se iwwer jiddereen op der Interface.

Metadaten-Logging mat engem schmuele Beräich

Schreift eng Regel, déi nëmmen op Äre Testfloss passt, gitt hir e markante Präfix a begrenzt hir Taux ënner deene vun der Plattform, sou datt en normale Widderhuelungsversuch de Späicher net iwwerschwemmt. De Präfix ass et, deen Iech erlaabt, Är Entréen tëschent allem aneren ze fannen, wat den Apparat loggt.

Vermeit d'Notzlaascht- oder onbeschränkt Paket-Logging just well d'Funktioun existéiert. Eng ofgeschnidden Erfaassung ass och net automatesch notzlaaschtfräi, well Header-Gréissten a Paket-Layouts variéieren, sou datt eng Snapshot-Längt, déi kleng ausgesäit, nach ëmmer Applikatiounsbytes ka droen.

Wann Dir musst erfassen, erfaasst een eenzege Floss, fir eng begrenzten Zäit, mat der klengster Snapshot-Längt, déi Är Fro beäntwert.

Passt eng frësch Ufro

Generéiert harmlosen Trafik, dee dém richtege Client-Wee follegt, a vergläicht dann déi relevant Zähler virdrun an duerno. En Test lokal um Gateway kann eng Weiderleitungsregel ganz verpassen, well d'Paket ni de Weiderleitungswee hëlt. Eng bestänneg Sitzung kann och anescht mat dem Zoustand ëmgoen wéi eng nei Verbindung, sou datt e laangliewege Floss keen neien ersetzt.

Begrenzt d'Fënster an der Zäit a schreift se op. Tëschent zwou bestëmmten Minutten, vun dëser Client-Adress, op dës Destinatioun op dësem Protokoll ass eng Diagnos. Irgendwann dëse Moien ass eng Sich.

Een Floss, eng Fënster, eng Grenz ass d'Eenheet vum Fortschrëtt hei.

Raumt op a behält just den Auszuch

Entfernt déi temporär Diagnosregel iwwer déi besëtzend Konfiguratioun, soubal d'Untersuchung fäerdeg ass. Eng schmuel Loggingregel, déi stoe gelooss gëtt, gëtt en onbewosst Opzeechnunssystem, an niemand erënnert sech sechs Méint méi spéit, firwat se existéiert.

Haalt Originalopzeechnungen privat, wann d'Politik et verlaangt, an deelt en iwwerpréiften minimale Auszuch amplaz vun der ganzer Erfaassung. Adressen, Kontidentifianten an intern Topologie si sensibel och wann keng Notzlaascht do ass. Behandelt den Auszuch wéi en Dokument mat engem Besëtzer. Redigéiert alles, wat d'Diagnos net brauch.

D'Zil ass eng bestëmmt feelgeschloen Grenz fir eng bestëmmten Ufro. Alles, wat en kompletten Archiv vun jidderengem mécht, deen de VPN benotzt, huet d'Diagnos iwwerschratt an en anert Projet ugefaangen. Préift d'Logging-Dokumentatioun vun der Plattform, wat se standardméisseg opzeechent, ier Dir eppes dobäi setzt.