VPN സെർവറിൽ വരുന്ന മുന്നറിയിപ്പ്: നിരീക്ഷണ പോയിന്റ് വായിക്കുക

VPN-ന് പിന്നിലുള്ള സെർവർ തന്റെ പൊതു സേവന എൻട്രികൾ സൂക്ഷിക്കുന്നു, ആളുകൾ അവ കണ്ടെത്തിക്കൊണ്ടിരിക്കുന്നു. മുന്നറിയിപ്പ് ക്യൂവിൽ എത്തുന്നത് ഒരു കണ്ടെത്തലല്ല, മൂന്ന് സാധ്യതകളാണ്, അവയുടെ അർത്ഥം വ്യത്യസ്തമാണ്. ആദ്യ ജോലി തുറന്ന സേവനത്തെ തുറന്ന ക്രെഡൻഷ്യലിൽ നിന്ന് വേർതിരിക്കുകയാണ്.

നിരീക്ഷണ പോയിന്റുകൾ ക്രമത്തിൽ സഞ്ചരിക്കുക. തെളിവ് വിഭാഗം മാറുമ്പോൾ നിർത്തുക, കാരണം അടുത്ത ഘട്ടം മറ്റൊരു ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു.

ആദ്യ ഘട്ടം: ക്യാപ്ചർ യഥാർത്ഥത്തിൽ കണ്ടത്

പാക്കറ്റ് ക്യാപ്ചർ അതിന്റെ സ്വന്തം പോയിന്റിൽ പാതയിൽ ദൃശ്യമായിരുന്നത് രേഖപ്പെടുത്തുന്നു. ആ പോയിന്റ് പിന്നീടുള്ള ഫിൽട്ടറിംഗ് തീരുമാനത്തിന് മുമ്പായിരിക്കാം. പിടിച്ചെടുത്ത പാക്കറ്റ് ട്രാഫിക് അവിടെ എത്തിയെന്ന് തെളിയിക്കുന്നു. അതിന് ശേഷം എന്ത് സംഭവിച്ചു എന്നതിനെക്കുറിച്ച് ഒന്നും തെളിയിക്കുന്നില്ല.

ഇന്റർഫേസും ശ്രദ്ധിക്കുക. പൊതു അഡാപ്റ്ററിലെ ക്യാപ്ചറും ടണലിനുള്ളിലെ ക്യാപ്ചറും വ്യത്യസ്ത ആഗമന പോയിന്റുകൾ വിവരിക്കുന്നു, തെറ്റായത് ഉദ്ധരിക്കുന്ന മുന്നറിയിപ്പ് തെറ്റായ നിഗമനത്തിലേക്ക് നയിക്കുന്നു.

Windows സ്റ്റാക്കിന്റെ പല പാളികളിലും ഫിൽട്ടർ ചെയ്യുന്നു, അതിനാൽ ക്യാപ്ചർ ഉപകരണം രണ്ടാം പാളിയിലും ഫയർവാൾ മൂന്നാം പാളിയിലും ഇരിക്കുന്ന വൃത്തിയുള്ള മാതൃക യഥാർത്ഥ ഉൽപ്പന്നവുമായുള്ള സമ്പർക്കത്തിൽ നിലനിൽക്കില്ല. Windows Filtering Platform അവലോകനം സ്റ്റാക്ക് പാളികളിലുടനീളമുള്ള ഫിൽട്ടറിംഗ് വിവരിക്കുന്നു, അതുകൊണ്ടാണ് നിരീക്ഷണ ക്രമം അനുമാനിക്കാതെ സ്ഥാപിക്കേണ്ടത്.

രണ്ടാം ഘട്ടം: ഡ്രോപ്പ് രേഖ എന്ത് സ്ഥാപിക്കുന്നു

ഡ്രോപ്പ് രേഖ പറയുന്നത് ഒരു നയ അതിർത്തി ആ പാക്കറ്റ് നിരസിച്ചു എന്നാണ്. ഇത് ശക്തമായ തെളിവാണ്. ഇത് ഇടുങ്ങിയ തെളിവുമാണ്, കാരണം ഒരു അതിർത്തിയിലെ ഒരു തീരുമാനം മാത്രമേ ഉൾക്കൊള്ളുന്നു. സ്റ്റാക്കിലെ മറ്റൊന്നും അതിലൂടെ വിവരിക്കപ്പെടുന്നില്ല.

ട്യൂപ്പിളിലും ടൈംസ്റ്റാമ്പിലും ബന്ധിപ്പിക്കുക. അതേ ഉറവിടം, അതേ ലക്ഷ്യം, അതേ പോർട്ട്, അതേ സെക്കൻഡിനുള്ളിൽ. ആ പൊരുത്തമില്ലാതെ, മറ്റൊരു ലോഗിലെ സമാനമായി കാണുന്ന സംഭവം വെറും മറ്റൊരു സംഭവമാണ്, അവ ജോടിയാക്കുന്നത് ആർക്കും സമർത്ഥിക്കാനാകാത്ത ഒരു കഥ സൃഷ്ടിക്കുന്നു.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

അടച്ച പോർട്ടും എറിഞ്ഞുകളഞ്ഞ പാക്കറ്റും പുറത്തുനിന്ന് ഒരുപോലെ കാണപ്പെടുന്നു, ഈ രണ്ട് ഔട്ട്പുട്ടുകളിൽ തികച്ചും വ്യത്യസ്തവുമാണ്. ആ വ്യത്യാസമാണ് പ്രാദേശിക രേഖ വായിക്കാനുള്ള മുഴുവൻ കാരണം.

മൂന്നാം ഘട്ടം: പ്രാമാണീകരണ സംഭവം എന്ത് തെളിയിക്കുന്നു

പ്രാമാണീകരണ സംഭവം പറയുന്നത് ഒരു ഘടകം അഭ്യർത്ഥന ഫലം രേഖപ്പെടുത്താൻ മതിയായത്ര പ്രോസസ്സ് ചെയ്തു എന്നാണ്. മൂന്ന് ഘട്ടങ്ങളിൽ ഐഡന്റിറ്റിയെക്കുറിച്ച് സംസാരിക്കുന്നത് ഇത് മാത്രമാണ്, അതിന് മുമ്പ് എത്ര പാക്കറ്റുകൾ എത്തി എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല.

സംഭവത്തിന്റെ യഥാർത്ഥ സന്ദർഭം വായിക്കുക. നിലവിലില്ലാത്ത അക്കൗണ്ടിലേക്കുള്ള പരാജയപ്പെട്ട ലോഗിൻ സ്കാനിംഗിന്റെ ബഹളമാണ്. യഥാർത്ഥ അക്കൗണ്ടിലേക്ക് വിശ്വസനീയമായ ഉറവിടത്തിൽ നിന്നുള്ള പരാജയപ്പെട്ട ലോഗിൻ മറ്റൊരു മുൻഗണനയാണ്. വിജയകരമായ സെഷൻ തികച്ചും വ്യത്യസ്തമായ സംഭവ വിഭാഗമാണ്.

പ്രോട്ടോക്കോൾ നാമങ്ങളും ശ്രദ്ധിക്കുക. RPC-യും RDP-യും വെവ്വേറെ പോർട്ടുകളുള്ള വെവ്വേറെ സേവനങ്ങളാണ്. ഒന്നിനെ നിരീക്ഷിക്കുന്ന ഡിറ്റക്ടർ മറ്റൊന്നിനെ ഉൾക്കൊള്ളുന്നില്ല. നെറ്റ്വർക്ക് പ്രവർത്തനം സംഗ്രഹിക്കുന്ന ഉപകരണങ്ങൾ രണ്ടിൽ ഏതാണ് സംഭവം സൃഷ്ടിച്ചതെന്ന് എപ്പോഴും പറയുന്നില്ല.

ഒരു ബന്ധിപ്പിച്ച സാമ്പിൾ ഡാഷ്ബോർഡിനെ തോൽപ്പിക്കുന്നു

ഒരു അംഗീകൃത പരിശോധന തിരഞ്ഞെടുത്ത് മനഃപൂർവ്വം പ്രവർത്തിപ്പിച്ച് തുടക്കം മുതൽ അവസാനം വരെ പിന്തുടരുക: ലക്ഷ്യ വിലാസവും ഇന്റർഫേസും, യഥാർത്ഥ ഉറവിട വിലാസം, സേവന പോർട്ട്, ഫലപ്രദമായ ഫയർവാൾ പ്രൊഫൈലും നിയമവും, പൊരുത്തപ്പെടുന്ന സേവന ഫലം. ആ ശൃംഖലയിൽ ഏതെങ്കിലും അപ്സ്ട്രീം മാപ്പിംഗോ ക്ലൗഡ് ഫയർവാളോ ഉൾപ്പെടുത്തുക, കാരണം അവിടത്തെ അനുവദിക്കുന്ന നിയമം വൃത്തിയുള്ള പ്രാദേശിക നിയമത്തെ മറികടക്കാം.

പിന്നീട് രണ്ട് ബാധ്യതകൾ വേർതിരിക്കുക. ഭരണം VPN വഴി മാത്രമായിരിക്കണമെങ്കിൽ, അംഗീകൃത വീണ്ടെടുപ്പ് പാത നിലനിർത്തിക്കൊണ്ട് പൊതു, ടണൽ എന്നീ രണ്ട് പാതകളിലും അത് നടപ്പാക്കുക. നിരസിക്കപ്പെട്ട ശ്രമം നിരീക്ഷിക്കുന്നത് സെർവർ എന്ത് സ്വീകരിക്കണം എന്ന് തീരുമാനിക്കുന്ന അതേ ജോലിയല്ല.

ഭൂമിശാസ്ത്ര നിയമമോ തടഞ്ഞ അസംബന്ധ പ്രോട്ടോക്കോളോ നിരീക്ഷിച്ച പ്രവേശനവും അതിന് ലഭിച്ച തീരുമാനവും കണ്ടെത്തുന്നതിന് പകരമല്ല. VPN-ഉം അല്ല: ടണലിലൂടെ പുറത്തേക്കുള്ള ട്രാഫിക് അയക്കുന്നത് അകത്തേക്കുള്ള അധികാരത്തെക്കുറിച്ച് ഒന്നും രേഖപ്പെടുത്തുന്നില്ല.