Encontre pacotes VPN descartados sem capturar o seu conteúdo

O contador de uma firewall aumenta quando um pacote corresponde a uma regra, e fá-lo sem reter o pacote. Isso basta para responder à primeira pergunta na maioria das investigações de descarte: o fluxo chegou sequer a esta regra. A captura do conteúdo responde a outra pergunta e recolhe tudo o resto que atravessa a interface enquanto corre. Comece pelo contador e passe ao registo de metadados apenas quando o contador for ambíguo.

Os contadores respondem à primeira pergunta

Cada regra que pode corresponder tem um contador, e lê-lo antes e depois de um teste diz se o tráfego chegou. É uma comparação de dois números e não um arquivo, e não custa nada em armazenamento ou exposição.

Leia os contadores com a ferramenta que detém as regras:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

O delta é a prova. Uma regra cujo contador não se move nunca viu o fluxo, o que aponta para uma fronteira anterior: a interface errada, a tabela errada ou uma rota que nunca enviou o pacote para lá. Uma regra cujo contador se move e que mesmo assim descarta diz que a política faz aquilo para que foi escrita.

O que um contador não lhe pode dizer

Um contador dá-lhe um número, não uma razão. Não consegue distinguir um pacote que correspondeu pelo endereço de um que correspondeu pela porta, e não lhe pode dizer qual de duas regras semelhantes apanhou o fluxo. Também não pode dizer se o pacote foi descartado, rejeitado ou aceite e depois perdido, a menos que leia a regra que detém o contador.

É aqui que entra o registo de metadados, e o âmbito é todo o ponto. Registe a interface, a direção, os endereços, o protocolo e o veredicto para um fluxo de teste específico. Esses campos localizam uma fronteira falhada sem registar o que o utilizador estava a fazer.

O registo do conteúdo responde a outra pergunta, e responde a ela sobre todos na interface.

Registo de metadados com âmbito restrito

Escreva uma regra que corresponda apenas ao seu fluxo de teste, dê-lhe um prefixo distintivo e limite a sua taxa sob os controlos da própria plataforma, para que uma nova tentativa comum não inundar o armazenamento. O prefixo é o que lhe permite encontrar as suas entradas entre tudo o resto que o dispositivo registe.

Evite ativar o registo do conteúdo ou de pacotes sem restrições só porque a funcionalidade existe. Uma captura truncada também não fica automaticamente livre de conteúdo, porque os tamanhos dos cabeçalhos e as disposições dos pacotes variam, pelo que um comprimento de captura que parece pequeno ainda pode transportar bytes da aplicação.

Se tiver de capturar, capture um único fluxo, durante um tempo limitado, com o menor comprimento de captura que responda à sua pergunta.

Faça corresponder um pedido novo

Gere tráfego inofensivo que siga a rota real do cliente e depois compare os contadores relevantes antes e depois. Um teste local no gateway pode falhar por completo uma regra de encaminhamento, porque o pacote nunca segue o caminho de encaminhamento. Uma sessão estabelecida também pode corresponder a um tratamento de estado diferente do de uma ligação nova, por isso um fluxo duradouro não substitui um novo.

Delimite a janela no tempo e anote-a. Entre dois minutos concretos, deste endereço de cliente, para este destino neste protocolo é um diagnóstico. A dada altura desta manhã é uma pesquisa.

Um fluxo, uma janela, uma fronteira é a unidade de progresso aqui.

Limpe e guarde apenas o extrato

Remova a regra de diagnóstico temporária através da configuração proprietária assim que a investigação terminar. Uma regra de registo estreita deixada no lugar torna-se um sistema de registo não intencional, e ninguém se lembra por que existe seis meses depois.

Mantenha os registos originais em privado quando a política o exigir e partilhe um extrato mínimo revisto em vez de toda a captura. Endereços, identificadores de conta e topologia interna são sensíveis mesmo quando não há conteúdo. Trate o extrato como um documento com proprietário. Oculte tudo o que o diagnóstico não precisa.

O objetivo é uma fronteira falhada concreta para um pedido concreto. Qualquer coisa que produza um arquivo completo de todos os que usam a VPN excedeu o diagnóstico e começou outro projeto. Consulte a documentação de registo da plataforma para saber o que regista por omissão antes de lhe acrescentar algo.