Пронађите одбачене VPN пакете без записивања њиховог садржаја

Бројач заштитног зида се повећава када пакет одговара правилу, и то чини без задржавања пакета. То је довољно да се одговори на прво питање у већини истрага одбацивања: да ли је ток уопште стигао до овог правила. Снимање садржаја одговара на друго питање и прикупља све остало што прелази интерфејс док ради. Почните од бројача и пређите на евидентирање метаподатака само када је бројач двосмислен.

Бројачи одговарају на прво питање

Свако правило које може да се поклони има бројач, а његово читање пре и после теста каже да ли је саобраћај стигао. То је поређење два броја, а не архива, и не кошта ништа у складиштењу или излагању.

Читајте бројаче алатом коме припадају правила:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Делта је доказ. Правило чији се бројач не помера никада није видело ток, што упућује на ранију границу: погрешан интерфејс, погрешну табелу или путању која никада није послала пакет тамо. Правило чији се бројач помера и које ипак одбацује каже вам да политика ради оно за шта је написана.

Шта бројач не може да вам каже

Бројач вам даје број, не разлог. Не може да разликује пакет који се поклопио по адреси од оног који се поклопио по порту, и не може да вам каже које је од два слична правила ухватило ток. Такође не може да каже да ли је пакет одбачен, одбијен или прихваћен и затим изгубљен, осим ако не прочитате правило коме бројач припада.

Ту наступа евидентирање метаподатака, а обим је цела поента. Забележите интерфејс, смер, адресе, протокол и пресуду за одређени тестни ток. Та поља проналазе неуспелу границу без записивања шта је корисник радио.

Евидентирање садржаја одговара на друго питање и одговара на њега о свима на интерфејсу.

Евидентирање метаподатака са уским обимом

Напишите правило које одговара само вашем тестном току, дајте му препознатљив префикс и ограничите његову брзину под сопственим контролама платформе, да обичан покушај изнова не поплави складиште. Префикс је оно што вам омогућава да пронађете своје уносе међу свим осталим што уређај евидентира.

Избегавајте укључивање евидентирања садржаја или неограниченог евидентирања пакета само зато што функција постоји. Ни скраћено снимање није аутоматски без садржаја, јер се величине заглавља и распореди пакета разликују, па дужина снимка која изгледа мала ипак може носити бајтове апликације.

Ако морате да снимате, снимите један ток, на ограничено време, са најмањом дужином снимка која одговара на ваше питање.

Поклопите један нов захтев

Генеришите безопасан саобраћај који прати стварну путању клијента, затим упоредите релевантне бројаче пре и после. Локални тест на гејтвеју може потпуно да промаши правило прослеђивања, јер пакет никада не иде путем прослеђивања. Успостављена сесија такође може да одговара другачијем руковању стањем од нове везе, па дуготрајан ток не замењује свеж.

Временски ограничите прозор и запишите га. Између два одређена минута, са ове адресе клијента, ка овом одредишту на овом протоколу је дијагноза. Негде јутрос је претрага.

Један ток, један прозор, једна граница је јединица напретка овде.

Очистите и задржите само извод

Уклоните привремено дијагностичко правило кроз конфигурацију која га поседује чим се истрага заврши. Уско правило евидентирања остављено на месту постаје ненамерни систем записа и нико се после шест месеци не сећа зашто постоји.

Чувајте оригиналне записе приватно када политика то захтева и делите прегледан минимални извод уместо целог снимка. Адресе, идентификатори налога и унутрашња топологија су осетљиви чак и када нема садржаја. Третирајте извод као документ са власником. Затамните све што дијагнози не треба.

Циљ је одређена неуспела граница за одређени захтев. Све што прави потпуну архиву свих који користе VPN превазишло је дијагнозу и започело други пројекат. Пре него што било шта додате, проверите у документацији платформе о евидентирању шта се подразумевано записује.