Finn forkasta VPN-pakkar utan å fanga innhaldet deira

Ein brannmurteljar aukar når ein pakke samsvarar med ein regel, og han gjer det utan å halde på pakken. Det er nok til å svare på det første spørsmålet i dei fleste drop-undersøkingar: nådde straumen i det heile denne regelen. Innfanging av nyttelasten svarar på eit anna spørsmål, og ho samlar alt anna som kryssar grensesnittet medan ho køyrer. Start med teljaren, og gå over til metadata-logging berre når teljaren er tvetydig.

Teljarar svarar på det første spørsmålet

Kvar regel som kan samsvare har ein teljar, og å lese han før og etter ein test fortel om trafikken kom fram. Det er ein samanlikning av to tal og ikkje eit arkiv, og det kostar ingenting i lagring eller eksponering.

Les teljarane med verktøyet som eig reglane:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Deltaet er beviset. Ein regel der teljaren ikkje rører seg har aldri sett straumen, noko som peikar på ei tidlegare grense: feil grensesnitt, feil tabell eller ei rute som aldri sende pakken dit. Ein regel der teljaren rører seg og likevel forkastar, fortel at policyen gjer det han vart skriven for.

Kva ein teljar ikkje kan fortelje deg

Ein teljar gir deg eit tal, ikkje ei grunn. Han kan ikkje skilje ein pakke som samsvarte på adresse frå ein som samsvarte på port, og han kan ikkje seie kva av to like reglar som fanga straumen. Han kan heller ikkje seie om pakken vart forkasta, avvist eller godteken og deretter tapt, med mindre du les regelen som eig teljaren.

Det er her metadata-logging kjem inn, og omfanget er heile poenget. Logg grensesnitt, retning, adresser, protokoll og avgjerd for ein bestemt teststraum. Dei felta lokaliserer ei mislukka grense utan å registrere kva brukaren gjorde.

Logging av nyttelast svarar på eit anna spørsmål, og ho svarar på det om alle på grensesnittet.

Metadata-logging med eit smalt omfang

Skriv ein regel som berre samsvarar med teststraumen din, gi han eit tydeleg prefiks, og avgrens farten under plattforma sine eigne kontrollar slik at eit vanleg nytt forsøk ikkje overfløymer lagringa. Prefikset er det som lèt deg finne oppføringane dine blant alt anna eininga loggar.

Unngå å slå på logging av nyttelast eller ubegrensa pakkelogging berre fordi funksjonen finst. Ei avkorta innfanging er heller ikkje automatisk fri for nyttelast, sidan headarar og pakkelayout varierer, så ein snaplengd som ser liten ut kan framleis bera applikasjonsbyt.

Viss du må fanga, fang éin straum, i avgrensa tid, med den minste snaplengda som svarar på spørsmålet ditt.

Match éin ny førespurnad

Generer ufarleg trafikk som følgjer den faktiske klientruta, og samanlikn deretter dei relevante teljarane før og etter. Ein lokal test på gatewayen kan heilt oversjå ein videresendingsregel, fordi pakken aldri tek videresendingsvegen. Ein etablert sesjon kan også samsvare med ei anna tilstandshandtering enn ei ny tilkopling, så ein langvarig straum erstattar ikkje ein ny.

Tidsavgrens vindauget og skriv det ned. Mellom to bestemte minutt, frå denne klientadressa, til denne destinasjonen på denne protokollen er ein diagnose. Ein gong i morgon er eit søk.

Éin straum, eitt vindauge, éi grense er eininga for framgang her.

Rydd opp og hald berre utdraget

Fjern den mellombelse diagnostikkregelen gjennom den eigde konfigurasjonen når undersøkinga er over. Ein smal loggingsregel som blir ståande blir eit utilsikta registersystem, og ingen hugsar kvifor han finst seks månader seinare.

Hald originale oppteikningar private når policyen krev det, og del eit gjennomgått minimalt utdrag i staden for heile innfanginga. Adresser, kontoidentifikatorar og intern topologi er sensitive sjølv når det ikkje finst nyttelast. Handsame utdraget som eit dokument med ein eigar. Sladd alt diagnosen ikkje treng.

Målet er ei bestemt mislukka grense for ein bestemt førespurnad. Alt som produserer eit fullstendig arkiv over alle som brukar VPN, har overskride diagnosen og starta eit anna prosjekt. Sjekk loggdokumentasjonen til plattforma for kva ho registrerer som standard før du legg til noko.