Најдете отфрлени VPN пакети без зачувување на нивната содржина

Бројачот на ѕидот за заштита се зголемува кога пакетот одговара на правило, и тоа го прави без да го задржи пакетот. Тоа е доволно за да се одговори на првото прашање во повеќето истраги на отфрлање: дали текот воопшто стигна до ова правило. Снимувањето на носивоста одговара на друго прашање и собира сѐ друго што ја преминува интерфејсот додека работи. Започнете со бројачот и преминете на евидентирање метаподатоци само кога бројачот е двосмислен.

Бројачите одговараат на првото прашање

Секое правило што може да се совпадне има бројач, а неговото читање пред и по тестот кажува дали сообраќајот пристигнал. Тоа е споредба на два броја, а не архив, и не чини ништо во складирање или изложеност.

Читајте ги бројачите со алатката што ги поседува правилата:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Делтата е доказот. Правило чиј бројач не се движи никогаш не го видело текот, што упатува на поранешна граница: погрешен интерфејс, погрешна табела или рута што никогаш не го испратила пакетот таму. Правило чиј бројач се движи, а сепак сѐ уште отфрла, ви кажува дека политиката го прави тоа за што е напишана.

Што не може да ви каже бројачот

Бројачот ви дава број, не причина. Не може да разликува пакет што се совпаднал по адреса од оној што се совпаднал по порта, и не може да ви каже кое од двете слични правила го фатило текот. Исто така не може да каже дали пакетот е отфрлен, одбиен или прифатен и потоа изгубен, освен ако не го прочитате правилото што го поседува бројачот.

Тука влегува евидентирањето метаподатоци, а обемот е целата поента. Евидентирајте интерфејс, насока, адреси, протокол и пресуда за одреден тестен тек. Тие полиња лоцираат неуспешна граница без да запишат што правел корисникот.

Евидентирањето на носивоста одговара на друго прашање и одговара за сите на интерфејсот.

Евидентирање метаподатоци со тесен обем

Напишете правило што одговара само на вашиот тестен тек, дајте му препознатлив префикс и ограничете ја неговата стапка под сопствените контроли на платформата, за да не го поплави складирањето обичен обид. Префиксот е тоа што ви овозможува да ги најдете вашите записи меѓу сѐ друго што уредот го евидентира.

Избегнувајте вклучување евидентирање на носивоста или неограничено евидентирање пакети само затоа што функцијата постои. Ни скратеното снимање не е автоматски без носивост, бидејќи големините на заглавијата и распоредот на пакетите се разликуваат, така што должина на снимка што изгледа мала сѐ уште може да носи бајти од апликацијата.

Ако мора да снимате, снимете еден тек, за ограничено време, со најмалата должина на снимка што одговара на вашето прашање.

Совпаднете едно свежо барање

Генерирајте безопасен сообраќај што ја следи вистинската рута на клиентот, потоа споредете ги релевантните бројачи пред и по. Локален тест на порталот може целосно да го пропушти правилото за препраќање, бидејќи пакетот никогаш не оди по патот на препраќање. Воспоставена сесија исто така може да одговара на различно ракување со состојбата од нова врска, така што долготрајниот тек не го заменува свежиот.

Временски ограничете го прозорецот и запишете го. Помеѓу две одредени минути, од оваа адреса на клиентот, кон оваа дестинација на овој протокол е дијагноза. Некаде утрово е пребарување.

Еден тек, еден прозорец, една граница е единицата на напредок тука.

Исчистете и задржете само извадокот

Отстранете го привременото дијагностичко правило преку конфигурацијата што го поседува штом истрагата заврши. Тесно правило за евидентирање оставено на место станува ненамерен систем за записи, и никој не се сеќава зошто постои шест месеци подоцна.

Чувајте ги оригиналните записи приватно кога политиката го бара тоа, и споделете прегледан минимален извадок наместо целото снимање. Адресите, идентификаторите на сметки и внатрешната топологија се чувствителни дури и кога нема носивост. Третирајте го извадокот како документ со сопственик. Редактирајте сѐ што не му треба на дијагнозата.

Целта е одредена неуспешна граница за одредено барање. Сѐ што создава целосен архив на сите што го користат VPN-от ја надминало дијагнозата и започнало друг проект. Проверете ја документацијата за евидентирање на платформата за тоа што го запишува по стандард пред да додадете нешто.