Poiščite zavržene pakete VPN brez zajemanja njihove vsebine

Števec požarnega zidu se poveča, ko se paket ujema s pravilom, in to stori, ne da bi paket obdržal. To je dovolj za odgovor na prvo vprašanje v večini preiskav zavrženja: ali je tok sploh dosegel to pravilo. Zajemanje vsebine odgovarja na drugo vprašanje in med delovanjem zbira vse drugo, kar prečka vmesnik. Začnite s števcem in na beleženje metapodatkov preidite le, ko je števec dvoumen.

Števci odgovorijo na prvo vprašanje

Vsako pravilo, ki se lahko ujema, ima števec, in branje pred preskusom in po njem pove, ali je promet prispel. To je primerjava dveh števil in ne arhiv, in ne stane nič v shrambi ali izpostavljenosti.

Števce berite z orodjem, ki ima pravila:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Delta je dokaz. Pravilo, katerega števec se ne premakne, toka ni nikoli videlo, kar kaže na zgodnejšo mejo: napačen vmesnik, napačno tabelo ali pot, ki paketa nikoli ni poslala tja. Pravilo, katerega števec se premakne in ki vseeno zavrže, vam pove, da politika dela tisto, za kar je bila napisana.

Česa števec ne more povedati

Števec vam da število, ne razloga. Ne more ločiti paketa, ki se je ujemal po naslovu, od tistega, ki se je ujemal po vratih, in ne more povedati, katero od dveh podobnih pravil je ujelo tok. Prav tako ne more povedati, ali je bil paket zavržen, zavrnjen ali sprejet in pozneje izgubljen, razen če preberete pravilo, ki ima števec.

Tu nastopi beleženje metapodatkov, in obseg je vsa poanta. Zabeležite vmesnik, smer, naslove, protokol in razsodbo za določen preskusni tok. Ta polja poiščejo neuspešno mejo, ne da bi zabeležila, kaj je uporabnik počel.

Beleženje vsebine odgovarja na drugo vprašanje in nanj odgovarja o vseh na vmesniku.

Beleženje metapodatkov z ozkim obsegom

Napišite pravilo, ki se ujema samo z vašim preskusnim tokom, dajte mu izrazito predpono in omejite njegovo hitrost pod lastnimi nadzori platforme, da običajno ponovno poskušanje ne preplavi shrambe. Prav predpona vam omogoča, da med vsem drugim, kar naprava beleži, najdete svoje vnose.

Izogibajte se vklopu beleženja vsebine ali neomejenega beleženja paketov samo zato, ker funkcija obstaja. Tudi obrezan zajem ni samodejno brez vsebine, ker se velikosti glav in postavitev paketov razlikujejo, zato lahko na videz majhna dolžina posnetka še vedno nosi bajte aplikacije.

Če morate zajemati, zajemite en tok, za omejen čas, z najmanjšo dolžino posnetka, ki odgovori na vaše vprašanje.

Ujemite eno novo zahtevo

Ustvarite neškodljiv promet, ki sledi dejanski poti odjemalca, nato primerjajte ustrezne števce pred in po. Krajevni preskus na prehodu lahko popolnoma zgreši pravilo posredovanja, ker paket nikoli ne gre po poti posredovanja. Vzpostavljena seja se lahko ujema tudi z drugačnim ravnanjem s stanjem kot nova povezava, zato dolgotrajen tok ne nadomesti novega.

Časovno omejite okno in ga zapišite. Med dvema določenima minutama, s tega naslova odjemalca, na ta cilj po tem protokolu je diagnoza. Nekje danes zjutraj je iskanje.

En tok, eno okno, ena meja je tukaj enota napredka.

Počistite in obdržite samo izvleček

Odstranite začasno diagnostično pravilo prek lastne konfiguracije, takoj ko se preiskava konča. Ozko pravilo beleženja, ki ostane na mestu, postane nenamerni sistem zapisov in nihče se po šestih mesecih ne spomni, zakaj obstaja.

Imajte izvirne zapise zasebne, kadar politika to zahteva, in delite pregledan najmanjši izvleček namesto celotnega zajema. Naslovi, identifikatorji računov in notranja topologija so občutljivi tudi kadar ni vsebine. Izvleček obravnavajte kot dokument z lastnikom. Prekrijte vse, česar diagnoza ne potrebuje.

Cilj je določena neuspešna meja za določeno zahtevo. Vse, kar ustvari popoln arhiv vseh, ki uporabljajo VPN, je preseglo diagnozo in začelo drug projekt. Preden kaj dodate, v dokumentaciji platforme za beleženje preverite, kaj beleži privzeto.