Алсаас пакет барих: мэдрэгч газартаа, шинжээч холоос

Пакет барих нь пакетууд аль хэдийн урсаж байгаа газарт хамаарна, холын шинжээч тэнд ховор суудаг. Ажиллах зохион байгуулалт нь ажиглагдаж буй сегмент дээрх мэдрэгч ба бүхэл тольдсон холбоосыг биш, удирдлага, татаж авалтыг зөөдөг VPN юм. Энэ хуваалт шинжээчийн зөөврийн компьютерыг барилтын замаас гадуур байлгаж, мэдрэмтгий өгөгдлийг газар дээр нь үлдээдэг. Доорх алхмууд интерфейсийг сонгож, файлыг хязгаарлаж, асуултад хэрэгтэй зүйлийг л зөөдөг.

Алсын зөөврийн компьютер барилтын цэг биш

VPN-ээр сүлжээнд нэгдэх нь таны машинд мэдрэгч хүртэлх зам өгдөг, бусад хост хоорондын урсгалыг харах боломж биш. Таны зөөврийн компьютер дээр авсан барилт нь зөвхөн таны зөөврийн компьютерын интерфейс рүү хүргэгдсэн пакетуудыг хардаг. Солигдсон холбоосыг ажиглахад сүлжээний эзэмшигч газар дээрх мэдрэгчийг тэжээх толь эсвэл салбар өгөх шаардлагатай. Тэр ч байтугай толинд хязгаар бий, учир нь хэт ачаалалтай хүлээн авагчид кадрыг хаяж, гарц ижил VLAN дотор үлдэх урсгалыг хэзээ ч хардаггүй.

Шифрлэгдсэн урсгал мэдрэгч дээр ч шифрлэгдсэн хэвээр үлддэг, учир нь TLS ачаа нь төгсгөлийн цэгүүдэд хамаарна. Барилт нь толгой, цаг, эзлэхүүнийг өгдөг, нээлттэй текстийг биш.

Урсгалыг харж чадах интерфейсийг сонгоорой

Ямар нэг зүйлийг шүүхээс өмнө интерфейсүүдийг жагсааж, асуусан замыг аль нь зөөж байгааг баталгаажуулаарай. Физик порт, нэгдэл, гүүрний хооронд таамаглах нь хоосон файл цуглуулах түгээмэл арга юм.

ip -br link
dumpcap -D

Интерфейсийн нэрийг өөрчлөлтийн бүртгэл дэх ажиглалтын цэгтэй тааруул, өөр хостоос санаж байгаа нэртэй биш. Үйлчилгээ харагдахуйц завгүй байхад пакетын тоо тэг хэвээр үлдвэл мэдрэгч буруу сегмент дээр байна эсвэл толь нөгөө чиглэлд тохируулагдсан байна. Эхлээд мэдэгдэж буй солилцоогоор замыг батал, эвдэрсэн толийг тайван програмаар андуурахаас сэргийл. Интерфейс болон толийг дэлгэрэнгүй барилтын тэмдэглэлд шинэ байхад нь бичээрэй.

Барилтыг шүүлтүүр, цагиргаар хязгаарлаарай

Хязгааргүй барилт дискийг дүүргэж, асуултын шаардсанаас илүүг цуглуулдаг. Зөвшөөрөгдсөн эх сурвалж, хүлээн авагч, протоколыг шүүлтүүрт хийж, дараа нь файлын хэмжээ болон файлын тоог хязгаарла.

tcpdump -i eth0 -n -s 128 -c 5000 -W 4 -C 25 -w /var/tmp/cap.pcap 'host 203.0.113.10 and tcp port 443'

Дээрх хаяг болон порт нь баримт бичгийн мужаас авсан жишээ тул батлагдсан утгуудаар сольж, нотолгоо цагиргаас даван гарахаар цонхыг хангалттай богино байлгаарай. Зургийн урт нь толгойг хадгалан ачааг тасладаг бөгөөд энэ нь холболтын асуултад ихэвчлэн хангалттай бөгөөд хадгалахад хамаагүй хялбар. tcpdump гарахдаа хэвлэдэг цөмийн хаялтын мөрийг уншаарай, учир нь өндөр хаялт нь барилт тайван биш, бүрэн бус гэсэн үг. Цагираг дээгүүр бичихээс өмнө хэрэгтэй цонхыг хадгалж, шүүлтүүрийн мөрийг файлын нэрийн хажууд тэмдэглээрэй.

Бүх холбоосыг биш, файлыг зөө

Бэлэн барилтыг толийг WAN-аар дамжуулахын оронд удирдлагын сувгаар ав. Нэг дамжуулалтыг зөвшөөрөх, бүртгэх, устгах нь тасралтгүй экспортоос хамаагүй хялбар.

scp [email protected]:/var/tmp/cap.pcap ./

Файлыг зөвхөн операторын бүртгэлд уншигдахуйц байлгаж, шинжилгээний хуулбар батлагдсаны дараа мэдрэгчээс устга. Хэрэв шууд экспорт үнэхээр шаардлага бол толийн инкапсуляци болон тээврийг хамт хэмжиж үзээрэй, учир нь нэмэлт ачаалал холбоосын төсөв хэтэрч болно. Харагдах байдлын цоорхойг ямар ч тохиолдолд тэмдэглээрэй, учир нь барилт нь мэдэгдэж буй ажиглалтын цэг бүхий нотолгоо бөгөөд сүлжээний бүрэн бүртгэл биш.