Cari paket VPN yang digugurkan tanpa menangkap kandungannya

Pembilang tembok api meningkat apabila paket sepadan dengan peraturan, dan ia berbuat demikian tanpa menyimpan paket itu. Itu cukup untuk menjawab soalan pertama dalam kebanyakan siasatan pengguguran: adakah aliran itu sampai ke peraturan ini. Tangkapan muatan menjawab soalan lain, dan ia mengumpul apa sahaja yang melintasi antara muka semasa ia berjalan. Mulakan dengan pembilang, dan beralih kepada pengelogan metadata hanya apabila pembilang itu kabur.

Pembilang menjawab soalan pertama

Setiap peraturan yang boleh sepadan mempunyai pembilang, dan membacanya sebelum dan selepas ujian memberitahu sama ada trafik tiba. Itu perbandingan dua nombor dan bukan arkib, dan ia tidak menelan kos dalam storan atau pendedahan.

Baca pembilang dengan alat yang memiliki peraturan itu:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Delta itu adalah buktinya. Peraturan yang pembilangnya tidak bergerak tidak pernah melihat aliran itu, yang menunjuk ke sempadan yang lebih awal: antara muka yang salah, jadual yang salah atau laluan yang tidak pernah menghantar paket ke sana. Peraturan yang pembilangnya bergerak dan masih menggugurkan memberitahu anda dasar itu melakukan apa yang ditulis untuk dilakukannya.

Apa yang pembilang tidak boleh beritahu

Pembilang memberi anda nombor, bukan sebab. Ia tidak boleh membezakan paket yang sepadan pada alamat daripada yang sepadan pada port, dan ia tidak boleh memberitahu anda peraturan mana antara dua peraturan serupa yang menangkap aliran itu. Ia juga tidak boleh memberitahu sama ada paket itu digugurkan, ditolak atau diterima dan kemudian hilang, melainkan anda membaca peraturan yang memiliki pembilang itu.

Di sinilah pengelogan metadata masuk, dan skop ialah keseluruhan perkara. Log antara muka, arah, alamat, protokol dan keputusan untuk aliran ujian tertentu. Medan itu mencari sempadan yang gagal tanpa merekodkan apa yang pengguna lakukan.

Pengelogan muatan menjawab soalan lain, dan ia menjawabnya tentang semua orang pada antara muka itu.

Pengelogan metadata dengan skop yang sempit

Tulis peraturan yang sepadan hanya dengan aliran ujian anda, beri ia awalan yang tersendiri, dan hadkan kadarnya di bawah kawalan platform itu sendiri supaya cubaan semula biasa tidak membanjiri storan. Awalan itulah yang membolehkan anda mencari entri anda dalam segala-galanya yang direkodkan oleh peranti.

Elakkan mengaktifkan pengelogan muatan atau paket tanpa had semata-mata kerana ciri itu wujud. Tangkapan terpotong juga tidak automatik bebas muatan, kerana saiz pengepala dan susun atur paket berbeza-beza, jadi panjang snap yang kelihatan kecil masih boleh membawa bait aplikasi.

Jika anda mesti menangkap, tangkap satu aliran, untuk masa yang terhad, dengan panjang snap terkecil yang menjawab soalan anda.

Padankan satu permintaan baharu

Hasilkan trafik tidak berbahaya yang mengikut laluan klien sebenar, kemudian bandingkan pembilang yang berkaitan sebelum dan selepas. Ujian setempat pada gateway boleh terlepas peraturan pemajuan sepenuhnya, kerana paket tidak pernah melalui laluan pemajuan. Sesi yang sudah mantap juga boleh sepadan dengan pengendalian keadaan yang berbeza daripada sambungan baharu, jadi aliran yang lama tidak menggantikan yang baharu.

Hadkan tetingkap masa dan catatkannya. Antara dua minit tertentu, dari alamat klien ini, ke destinasi ini pada protokol ini ialah diagnosis. Suatu ketika pagi ini ialah pencarian.

Satu aliran, satu tetingkap, satu sempadan ialah unit kemajuan di sini.

Bersihkan dan simpan petikan sahaja

Alih keluar peraturan diagnostik sementara melalui konfigurasi pemiliknya sebaik sahaja siasatan tamat. Peraturan pengelogan sempit yang ditinggalkan di tempatnya menjadi sistem rekod yang tidak disengajakan, dan tiada siapa ingat mengapa ia wujud enam bulan kemudian.

Simpan rekod asal secara peribadi apabila dasar menghendakinya, dan kongsi petikan minimum yang disemak dan bukan seluruh tangkapan. Alamat, pengecam akaun dan topologi dalaman adalah sensitif walaupun tiada muatan. Layan petikan itu sebagai dokumen yang mempunyai pemilik. Redaksi apa sahaja yang tidak diperlukan oleh diagnosis.

Matlamatnya ialah sempadan gagal yang khusus untuk permintaan yang khusus. Apa sahaja yang menghasilkan arkib lengkap semua orang yang menggunakan VPN telah melebihi diagnosis dan memulakan projek lain. Semak dokumentasi pengelogan platform tentang apa yang direkodkan secara lalai sebelum anda menambah apa-apa.