Nájdite zahodené VPN pakety bez zachytenia ich obsahu

Počítadlo firewallu sa zvýši, keď paket zodpovedá pravidlu, a urobí to bez toho, aby paket uchovalo. To stačí na odpoveď na prvú otázku vo väčšine vyšetrovaní zahadzovania: dostal sa tok vôbec k tomuto pravidlu. Zachytenie obsahu odpovedá na inú otázku a zhromažďuje všetko ostatné, čo počas behu prejde rozhraním. Začnite počítadlom a k protokolovaniu metadát prejdite len vtedy, keď je počítadlo nejednoznačné.

Počítadlá odpovedajú na prvú otázku

Každé pravidlo, ktoré môže zodpovedať, má počítadlo, a jeho prečítanie pred testom a po ňom povie, či prevádzka dorazila. Je to porovnanie dvoch čísel, nie archív, a nestojí nič na úložisku ani na expozícii.

Čítajte počítadlá nástrojom, ktorému pravidlá patria:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Delta je dôkaz. Pravidlo, ktorého počítadlo sa nehýbe, tok nikdy nevidelo, čo ukazuje na skoršiu hranicu: nesprávne rozhranie, nesprávnu tabuľku alebo trasu, ktorá paket tam nikdy neposlala. Pravidlo, ktorého počítadlo sa hýbe a napriek tomu zahadzuje, vám hovorí, že zásada robí to, na čo bola napísaná.

Čo vám počítadlo nepovie

Počítadlo vám dá číslo, nie dôvod. Nedokáže rozlíšiť paket, ktorý zodpovedal podľa adresy, od paketu, ktorý zodpovedal podľa portu, a nepovie vám, ktoré z dvoch podobných pravidiel tok zachytilo. Tiež nepovie, či bol paket zahodený, odmietnutý alebo prijatý a potom stratený, ak neprečítate pravidlo, ktorému počítadlo patrí.

Tu prichádza na rad protokolovanie metadát a rozsah je celý zmysel. Zaznamenajte rozhranie, smer, adresy, protokol a verdikt pre konkrétny testovací tok. Tie polia lokalizujú zlyhanú hranicu bez zaznamenania toho, čo používateľ robil.

Protokolovanie obsahu odpovedá na inú otázku a odpovedá na ňu o všetkých v rozhraní.

Protokolovanie metadát s úzkym rozsahom

Napíšte pravidlo, ktoré zodpovedá len vášmu testovaciemu toku, dajte mu výrazný prefix a obmedzte jeho rýchlosť pod vlastnými kontrolami platformy, aby bežné opakovanie nezaplavilo úložisko. Práve prefix vám umožní nájsť vaše záznamy medzi všetkým ostatným, čo zariadenie protokoluje.

Vyhnite sa zapnutiu protokolovania obsahu alebo neobmedzeného protokolovania paketov len preto, že funkcia existuje. Ani skrátené zachytenie nie je automaticky bez obsahu, pretože veľkosti hlavičiek a rozvrhnutia paketov sa líšia, takže dĺžka snímky, ktorá vyzerá malá, môže stále niesť bajty aplikácie.

Ak musíte zachytávať, zachyťte jeden tok, na obmedzený čas, s najmenšou dĺžkou snímky, ktorá odpovedá na vašu otázku.

Zosúlaďte jednu novú požiadavku

Vygenerujte neškodnú prevádzku, ktorá sleduje skutočnú trasu klienta, a potom porovnajte príslušné počítadlá pred a po. Miestny test na bráne môže pravidlo preposielania úplne minúť, pretože paket nikdy nejde cestou preposielania. Nadviazaná relácia tiež môže zodpovedať inému spracovaniu stavu ako nové pripojenie, takže dlho žijúci tok nenahrádza čerstvý.

Ohraničte okno časom a zapíšte ho. Medzi dvoma určenými minútami, z tejto adresy klienta, k tomuto cieľu na tomto protokole je diagnóza. Niekedy dnes ráno je hľadanie.

Jeden tok, jedno okno, jedna hranica je tu jednotkou pokroku.

Ukľudte a ponechajte len výňatok

Odstráňte dočasné diagnostické pravidlo cez vlastnú konfiguráciu, hneď ako sa vyšetrovanie skončí. Úzke pravidlo protokolovania ponechané na mieste sa stane neúmyselným záznamovým systémom a nikto si po šiestich mesiacoch nepamätá, prečo existuje.

Uchovávajte pôvodné záznamy súkromne, keď to zásada vyžaduje, a zdieľajte skontrolovaný minimálny výňatok namiesto celého zachytenia. Adresy, identifikátory účtov a vnútorná topológia sú citlivé, aj keď nie je prítomný žiadny obsah. Zaobchádzajte s výňatkom ako s dokumentom s vlastníkom. Redigujte všetko, čo diagnóza nepotrebuje.

Cieľom je konkrétna zlyhaná hranica pre konkrétnu požiadavku. Čokoľvek, čo vytvorí úplný archív všetkých, ktorí používajú VPN, prekročilo diagnózu a začalo iný projekt. Predtým, než k protokolovaniu niečo pridáte, skontrolujte v dokumentácii platformy, čo sa predvolene zaznamenáva.