Verwijderde VPN-pakketten vinden zonder de inhoud vast te leggen

Een firewachteller loopt op wanneer een pakket aan een regel voldoet, en dat doet hij zonder het pakket te bewaren. Dat is genoeg om de eerste vraag in de meeste drop-onderzoeken te beantwoorden: heeft de stroom deze regel überhaupt bereikt. Het vastleggen van de payload beantwoordt een andere vraag, en het verzamelt alles wat verder de interface passeert terwijl het draait. Begin met de teller en stap pas over op metadataregistratie wanneer de teller dubbelzinnig is.

Tellers beantwoorden de eerste vraag

Elke regel die kan matchen heeft een teller, en hem voor en na een test lezen vertelt of er verkeer aankwam. Dat is een vergelijking van twee getallen en geen archief, en het kost niets aan opslag of blootstelling.

Lees de tellers met het gereedschap dat de regels bezit:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Het verschil is het bewijs. Een regel waarvan de teller niet beweegt heeft de stroom nooit gezien, wat wijst op een eerdere grens: de verkeerde interface, de verkeerde tabel of een route die het pakket er nooit heen stuurde. Een regel waarvan de teller beweegt en die toch verwijdert, vertelt dat het beleid doet waarvoor het is geschreven.

Wat een teller je niet kan vertellen

Een teller geeft je een getal, geen reden. Hij kan een pakket dat op adres matchte niet onderscheiden van een dat op poort matchte, en hij kan je niet vertellen welke van twee vergelijkbare regels de stroom ving. Hij kan ook niet zeggen of het pakket werd verwijderd, geweigerd of geaccepteerd en later verloren, tenzij je de regel leest die de teller bezit.

Daar komt metadataregistratie in beeld, en de reikwijdte is het hele punt. Registreer de interface, richting, adressen, protocol en uitspraak voor een specifieke teststroom. Die velden lokaliseren een mislukte grens zonder vast te leggen wat de gebruiker deed.

Payloadregistratie beantwoordt een andere vraag, en zij beantwoordt die over iedereen op de interface.

Metadataregistratie met een smalle reikwijdte

Schrijf een regel die alleen op je teststroom matcht, geef die een herkenbaar voorvoegsel en beperk de snelheid onder de eigen controles van het platform, zodat een gewone nieuwe poging de opslag niet overspoelt. Het voorvoegsel is wat je je regels laat vinden tussen alles wat het apparaat verder registreert.

Vermijd het inschakelen van payload- of onbeperkte pakketregistratie alleen omdat de functie bestaat. Een afgeknotte opname is ook niet automatisch payloadvrij, omdat headergroottes en pakketindelingen verschillen, dus een kleine lijkende snaplengte kan nog steeds applicatiebytes bevatten.

Als je moet opnemen, neem dan één stroom op, voor een begrensde tijd, met de kleinste snaplengte die je vraag beantwoordt.

Match één nieuw verzoek

Genereer onschadelijk verkeer dat de werkelijke clientroute volgt, en vergelijk daarna de relevante tellers voor en na. Een lokale test op de gateway kan een doorstuurregel volledig missen, omdat het pakket nooit het doorstuurpad neemt. Een bestaande sessie kan ook andere toestandsafhandeling matchen dan een nieuwe verbinding, dus een langdurige stroom vervangt geen nieuwe.

Begrens het venster in de tijd en schrijf het op. Tussen twee bepaalde minuten, vanaf dit clientadres, naar deze bestemming op dit protocol is een diagnose. Ergens vanochtend is een zoektocht.

Eén stroom, één venster, één grens is hier de eenheid van vooruitgang.

Ruim op en bewaar alleen het uittreksel

Verwijder de tijdelijke diagnoseregel via de eigenaarconfiguratie zodra het onderzoek eindigt. Een smalle registratieregel die blijft staan wordt een onbedoeld registratiesysteem, en niemand herinnert zich zes maanden later waarom die bestaat.

Houd originele registraties privé wanneer het beleid dat vereist, en deel een beoordeeld minimaal uittreksel in plaats van de hele opname. Adressen, accountidentificaties en interne topologie zijn gevoelig, zelfs wanneer er geen payload is. Behandel het uittreksel als een document met een eigenaar. Redigeer alles wat de diagnose niet nodig heeft.

Het doel is een specifieke mislukte grens voor een specifiek verzoek. Alles wat een volledig archief van iedereen die de VPN gebruikt oplevert, heeft de diagnose overschreden en een ander project begonnen. Controleer de registratiedocumentatie van het platform op wat het standaard vastlegt voordat je er iets aan toevoegt.