Găsiți pachetele VPN abandonate fără a le captura conținutul

Contorul unui firewall crește când un pachet corespunde unei reguli, și face asta fără a păstra pachetul. Este suficient pentru a răspunde la prima întrebare în majoritatea investigațiilor de abandon: a ajuns fluxul măcar la această regulă. Capturarea conținutului răspunde la altă întrebare și colectează tot ce altceva traversează interfața în timpul rulării. Începeți cu contorul și treceți la jurnalizarea metadatelor doar când contorul este ambiguu.

Contoarele răspund la prima întrebare

Fiecare regulă care poate corespunde are un contor, iar citirea lui înainte și după un test spune dacă traficul a sosit. Este o comparație a două numere, nu o arhivă, și nu costă nimic în stocare sau expunere.

Citiți contoarele cu instrumentul care deține regulile:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Delta este dovada. O regulă al cărei contor nu se mișcă nu a văzut niciodată fluxul, ceea ce indică o graniță anterioară: interfața greșită, tabelul greșit sau o rută care nu a trimis niciodată pachetul acolo. O regulă al cărei contor se mișcă și care totuși abandonează vă spune că politica face ceea ce a fost scrisă să facă.

Ce nu vă poate spune un contor

Un contor vă dă un număr, nu un motiv. Nu poate distinge un pachet care a corespuns după adresă de unul care a corespuns după port și nu vă poate spune care dintre două reguli similare a prins fluxul. Nu poate spune nici dacă pachetul a fost abandonat, respins sau acceptat și apoi pierdut, decât dacă citiți regula care deține contorul.

Aici intervine jurnalizarea metadatelor, iar scopul este tot sensul. Jurnalizați interfața, direcția, adresele, protocolul și verdictul pentru un flux de test anume. Acele câmpuri localizează o graniță eșuată fără a înregistra ce făcea utilizatorul.

Jurnalizarea conținutului răspunde la altă întrebare și răspunde despre toți cei de pe interfață.

Jurnalizarea metadatelor cu scop îngust

Scrieți o regulă care corespunde doar fluxului dumneavoastră de test, dați-i un prefix distinctiv și limitați-i rata sub controalele proprii ale platformei, astfel încât o reîncercare obișnuită să nu inunde stocarea. Prefixul este ceea ce vă permite să vă găsiți intrările printre tot ce altceva jurnalizează dispozitivul.

Evitați să activați jurnalizarea conținutului sau a pachetelor fără restricții doar pentru că funcția există. Nici o captură trunchiată nu este automat lipsită de conținut, deoarece dimensiunile antetelor și dispunerea pachetelor variază, așa că o lungime de captură care pare mică poate transporta totuși octeți ai aplicației.

Dacă trebuie să capturați, capturați un singur flux, pentru un timp limitat, cu cea mai mică lungime de captură care răspunde la întrebarea dumneavoastră.

Potriviți o cerere nouă

Generați trafic inofensiv care urmează ruta reală a clientului, apoi comparați contoarele relevante înainte și după. Un test local pe gateway poate rata complet o regulă de redirecționare, deoarece pachetul nu urmează niciodată calea de redirecționare. O sesiune stabilită poate corespunde, de asemenea, unei gestionări de stare diferite de cea a unei conexiuni noi, așa că un flux de durată nu înlocuiește unul nou.

Limitați fereastra în timp și notați-o. Între două minute precizate, de la această adresă de client, către această destinație pe acest protocol este un diagnostic. Undva în această dimineață este o căutare.

Un flux, o fereastră, o graniță este unitatea de progres aici.

Curățați și păstrați doar extrasul

Eliminați regula de diagnostic temporară prin configurația proprietară imediat ce investigația se încheie. O regulă îngustă de jurnalizare lăsată în loc devine un sistem de înregistrare nedorit și nimeni nu își mai amintește de ce există șase luni mai târziu.

Păstrați înregistrările originale în privat când politica o cere și partajați un extras minim revizuit în locul întregii capturi. Adresele, identificatorii de cont și topologia internă sunt sensibile chiar și când nu există conținut. Tratați extrasul ca pe un document cu proprietar. Mascați tot ce nu are nevoie diagnosticul.

Scopul este o graniță eșuată specifică pentru o cerere specifică. Orice produce o arhivă completă a tuturor celor care folosesc VPN-ul a depășit diagnosticul și a început alt proiect. Verificați documentația de jurnalizare a platformei pentru ce înregistrează implicit înainte de a adăuga ceva.