सामग्री न कॅप्चर करता टाकून दिलेले VPN पॅकेट शोधा

पॅकेट नियमाशी जुळल्यावर फायरवॉल काउंटर वाढतो, आणि ते पॅकेट न ठेवता करतो. बहुतेक ड्रॉप तपासांमधील पहिल्या प्रश्नाचे उत्तर देण्यासाठी एवढे पुरते: प्रवाह या नियमापर्यंत पोहोचला का. पेलोड कॅप्चर वेगळ्या प्रश्नाचे उत्तर देते, आणि चालू असताना इंटरफेस ओलांडणारे बाकी सर्व गोळा करते. काउंटरपासून सुरुवात करा, आणि काउंटर अस्पष्ट असेल तेव्हाच मेटाडेटा लॉगिंगकडे जा.

काउंटर पहिल्या प्रश्नाचे उत्तर देतात

जुळू शकणाऱ्या प्रत्येक नियमाला काउंटर असतो, आणि चाचणीपूर्वी व नंतर तो वाचल्यास ट्रॅफिक आले का हे कळते. ते संग्रह नाही तर दोन संख्यांची तुलना आहे, आणि साठवणुकीत किंवा उघडकीत त्याचा काहीच खर्च नाही.

नियमांचा मालक असलेल्या साधनाने काउंटर वाचा:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

डेल्टा हाच पुरावा आहे. ज्या नियमाचा काउंटर हलत नाही त्या नियमाने प्रवाह कधीच पाहिला नाही, जे आधीच्या सीमेकडे निर्देश करते: चुकीचा इंटरफेस, चुकीचा तक्ता किंवा पॅकेट तिथे कधीच न पाठवणारा मार्ग. ज्या नियमाचा काउंटर हलतो आणि तरीही टाकून देतो तो सांगतो की धोरण जे लिहिले होते तेच करत आहे.

काउंटर तुम्हाला काय सांगू शकत नाही

काउंटर संख्या देतो, कारण नाही. पत्त्यावर जुळलेल्या पॅकेटला पोर्टवर जुळलेल्यापासून वेगळे करू शकत नाही, आणि दोन समान नियमांपैकी कोणी प्रवाह पकडला हे सांगू शकत नाही. काउंटरचा मालक असलेला नियम वाचल्याशिवाय पॅकेट टाकून दिले गेले, नाकारले गेले किंवा स्वीकारून नंतर हरवले हेही सांगू शकत नाही.

इथेच मेटाडेटा लॉगिंग येते, आणि व्याप्ती हाच सर्व मुद्दा आहे. विशिष्ट चाचणी प्रवाहासाठी इंटरफेस, दिशा, पत्ते, प्रोटोकॉल आणि निर्णय लॉग करा. ती क्षेत्रे वापरकर्ता काय करत होता हे नोंदविल्याशिवाय अयशस्वी सीमा शोधतात.

पेलोड लॉगिंग वेगळ्या प्रश्नाचे उत्तर देते, आणि इंटरफेसवरील सर्वांबद्दल उत्तर देते.

अरुंद व्याप्तीसह मेटाडेटा लॉगिंग

फक्त तुमच्या चाचणी प्रवाहाशी जुळणारा नियम लिहा, त्याला वेगळा ओळखता येणारा उपसर्ग द्या, आणि सामान्य पुनर्प्रयत्न साठवणुकीला भरून न टाकण्यासाठी प्लॅटफॉर्मच्या स्वतःच्या नियंत्रणाखाली त्याचा दर मर्यादित करा. उपसर्गामुळेच डिव्हाइस लॉग करते त्या सर्वांमध्ये तुमच्या नोंदी शोधता येतात.

फक्त सुविधा आहे म्हणून पेलोड किंवा अमर्यादित पॅकेट लॉगिंग सुरू करणे टाळा. कापलेले कॅप्चरही स्वयंचलितपणे पेलोड-मुक्त नसते, कारण हेडरचे आकार आणि पॅकेटची मांडणी वेगळी असते, त्यामुळे लहान दिसणारी स्नॅप लांबीही अनुप्रयोगाचे बाइट वाहू शकते.

कॅप्चर करावेच लागल्यास, एक प्रवाह, मर्यादित वेळेसाठी, तुमच्या प्रश्नाचे उत्तर देणाऱ्या सर्वात लहान स्नॅप लांबीसह कॅप्चर करा.

एका नवीन विनंतीशी जुळवा

प्रत्यक्ष क्लायंट मार्गाचे अनुसरण करणारा निरुपद्रवी रहदारी निर्माण करा, नंतर संबंधित काउंटर पूर्वी आणि नंतर तुलना करा. गेटवेवरील स्थानिक चाचणी फॉरवर्डिंग नियम पूर्णपणे चुकवू शकते, कारण पॅकेट कधीच फॉरवर्डिंग मार्ग घेत नाही. प्रस्थापित सत्र नवीन कनेक्शनपेक्षा वेगळ्या स्थिती-हाताळणीशी जुळू शकते, त्यामुळे दीर्घकालीन प्रवाह नवीन प्रवाहाचा पर्याय नाही.

विंडोची वेळ-मर्यादा ठरवा आणि लिहून ठेवा. दोन निर्दिष्ट मिनिटांदरम्यान, या क्लायंट पत्त्यावरून, या प्रोटोकॉलवर या गंतव्याकडे — हे निदान आहे. आज सकाळी कधीतरी — हा शोध आहे.

एक प्रवाह, एक विंडो, एक सीमा हे इथे प्रगतीचे एकक आहे.

स्वच्छता करा आणि फक्त उतारा ठेवा

तपास संपताच मालकीच्या कॉन्फिगरेशनद्वारे तात्पुरता निदान नियम काढून टाका. जागेवर सोडलेला अरुंद लॉगिंग नियम अनपेक्षित नोंदणी प्रणाली बनतो, आणि सहा महिन्यांनंतर तो का आहे हे कोणालाही आठवत नाही.

धोरण मागत असल्यास मूळ नोंदी खाजगी ठेवा, आणि संपूर्ण कॅप्चरऐवजी तपासलेला किमान उतारा सामायिक करा. पेलोड नसतानाही पत्ते, खाते ओळखणारे आणि अंतर्गत टोपोलॉजी संवेदनशील असतात. उताऱ्याकडे मालक असलेल्या दस्तऐवजासारखे पहा. निदानाला नको असलेले सर्व झाकून टाका.

ध्येय एका विशिष्ट विनंतीसाठी विशिष्ट अयशस्वी सीमा आहे. VPN वापरणाऱ्या प्रत्येकाचे संपूर्ण संग्रहण तयार करणारी कोणतीही गोष्ट निदानाच्या पलीकडे जाऊन दुसरा प्रकल्प सुरू करते. काहीही जोडण्यापूर्वी प्लॅटफॉर्मच्या लॉगिंग दस्तऐवजात डीफॉल्टनुसार काय नोंदवले जाते ते पहा.