ค้นหาแพ็กเก็ต VPN ที่ถูกทิ้งโดยไม่บันทึกเนื้อหา

ตัวนับไฟร์วอลล์เพิ่มขึ้นเมื่อแพ็กเก็ตตรงกับกฎ และทำเช่นนั้นโดยไม่เก็บแพ็กเก็ตไว้ การอ่านตัวนับก็เพียงพอที่จะตอบคำถามแรกในการสอบสวนการทิ้งส่วนใหญ่: โฟลว์ไปถึงกฎนี้หรือไม่ การจับข้อมูลเนื้อหาตอบคำถามอีกข้อหนึ่ง และเก็บทุกอย่างที่ผ่านอินเทอร์เฟซระหว่างที่ทำงาน เริ่มจากตัวนับ แล้วเปลี่ยนไปบันทึกเมตาดาต้าเฉพาะเมื่อตัวนับกำกวม

ตัวนับตอบคำถามแรก

ทุกกฎที่อาจตรงได้มีตัวนับ และการอ่านก่อนและหลังการทดสอบบอกว่าทราฟฟิกมาถึงหรือไม่ นั่นคือการเปรียบเทียบตัวเลขสองค่าไม่ใช่คลังเก็บถาวร และไม่มีค่าใช้จ่ายในการจัดเก็บหรือการเปิดเผย

อ่านตัวนับด้วยเครื่องมือที่เป็นเจ้าของกฎ:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

เดลตาคือหลักฐาน กฎที่ตัวนับไม่ขยับไม่เคยเห็นโฟลว์นั้น ซึ่งชี้ไปที่ขอบเขตก่อนหน้า: อินเทอร์เฟซผิด ตารางผิด หรือเส้นทางที่ไม่เคยส่งแพ็กเก็ตไปที่นั่น กฎที่ตัวนับขยับแต่ยังทิ้งอยู่บอกว่านโยบายทำในสิ่งที่เขียนไว้

สิ่งที่ตัวนับบอกคุณไม่ได้

ตัวนับให้ตัวเลข ไม่ใช่เหตุผล มันแยกแพ็กเก็ตที่ตรงตามที่อยู่กับที่ตรงตามพอร์ตไม่ได้ และบอกไม่ได้ว่ากฎสองข้อที่คล้ายกันข้อใดจับโฟลว์ไว้ อีกทั้งบอกไม่ได้ว่าแพ็กเก็ตถูกทิ้ง ถูกปฏิเสธ หรือถูกยอมรับแล้วสูญหายภายหลัง เว้นแต่คุณจะอ่านกฎที่เป็นเจ้าของตัวนับ

นี่คือจุดที่การบันทึกเมตาดาต้าเข้ามา และขอบเขตคือประเด็นทั้งหมด บันทึกอินเทอร์เฟซ ทิศทาง ที่อยู่ โปรโตคอล และคำตัดสินสำหรับโฟลว์ทดสอบที่เจาะจง ฟิลด์เหล่านี้ระบุขอบเขตที่ล้มเหลวโดยไม่บันทึกว่าผู้ใช้กำลังทำอะไร

การบันทึกเนื้อหาตอบคำถามอีกข้อหนึ่ง และตอบเกี่ยวกับทุกคนบนอินเทอร์เฟซ

การบันทึกเมตาดาต้าด้วยขอบเขตแคบ

เขียนกฎที่ตรงกับโฟลว์ทดสอบของคุณเท่านั้น ใส่คำนำหน้าที่โดดเด่น และจำกัดอัตราภายใต้การควบคุมของแพลตฟอร์มเอง เพื่อให้การลองใหม่ตามปกติไม่ท่วมพื้นที่จัดเก็บ คำนำหน้าคือสิ่งที่ช่วยให้คุณค้นหารายการของคุณท่ามกลางทุกอย่างที่อุปกรณ์บันทึก

หลีกเลี่ยงการเปิดการบันทึกเนื้อหาหรือแพ็กเก็ตแบบไม่จำกัดเพียงเพราะมีฟีเจอร์นี้ การจับแบบตัดทอนก็ไม่ได้ปลอดจากเนื้อหาโดยอัตโนมัติ เนื่องจากขนาดส่วนหัวและรูปแบบแพ็กเก็ตแตกต่างกัน ความยาวสแนปที่ดูเล็กจึงยังอาจบรรจุไบต์ของแอปพลิเคชันได้

หากจำเป็นต้องจับ ให้จับโฟลว์เดียว ในช่วงเวลาจำกัด ด้วยความยาวสแนปที่สั้นที่สุดที่ตอบคำถามของคุณ

จับคู่คำขอใหม่หนึ่งครั้ง

สร้างทราฟฟิกที่ไม่เป็นอันตรายซึ่งไปตามเส้นทางจริงของไคลเอนต์ แล้วเปรียบเทียบตัวนับที่เกี่ยวข้องก่อนและหลัง การทดสอบภายในเกตเวย์อาจพลาดกฎการส่งต่อทั้งหมด เพราะแพ็กเก็ตไม่เคยใช้เส้นทางการส่งต่อ เซสชันที่สร้างไว้แล้วอาจตรงกับการจัดการสถานะที่ต่างจากการเชื่อมต่อใหม่ ดังนั้นโฟลว์ที่อยู่นานจึงไม่ใช่ตัวแทนของโฟลว์ใหม่

กำหนดกรอบเวลาของหน้าต่างและจดไว้ ระหว่างสองนาทีที่ระบุ จากที่อยู่ไคลเอนต์นี้ ไปยังปลายทางนี้บนโปรโตคอลนี้ คือการวินิจฉัย บางเวลาเมื่อเช้านี้ คือการค้นหา

โฟลว์เดียว หน้าต่างเดียว ขอบเขตเดียว คือหน่วยของความคืบหน้าตรงนี้

ทำความสะอาดและเก็บไว้เฉพาะข้อความที่ตัดตอนมา

ลบกฎวินิจฉัยชั่วคราวผ่านการกำหนดค่าที่เป็นเจ้าของทันทีที่การสอบสวนสิ้นสุด กฎการบันทึกแบบแคบที่ถูกทิ้งไว้จะกลายเป็นระบบบันทึกที่ไม่ตั้งใจ และไม่มีใครจำได้ว่าทำไมมันจึงมีอยู่หกเดือนต่อมา

เก็บบันทึกต้นฉบับเป็นความลับเมื่อนโยบายกำหนด และแบ่งปันข้อความตัดตอนขั้นต่ำที่ตรวจสอบแล้วแทนการจับทั้งหมด ที่อยู่ ตัวระบุบัญชี และโครงสร้างภายในมีความละเอียดอ่อนแม้ไม่มีเนื้อหา ปฏิบัติต่อข้อความตัดตอนเป็นเอกสารที่มีเจ้าของ ปิดข้อมูลทุกอย่างที่การวินิจฉัยไม่ต้องการ

เป้าหมายคือขอบเขตที่ล้มเหลวเฉพาะสำหรับคำขอเฉพาะ สิ่งใดก็ตามที่สร้างคลังเก็บถาวรที่สมบูรณ์ของทุกคนที่ใช้ VPN ได้เกินกว่าการวินิจฉัยและเริ่มโครงการอื่นแล้ว ก่อนเพิ่มสิ่งใด ให้ตรวจสอบเอกสารการบันทึกของแพลตฟอร์มว่าบันทึกอะไรเป็นค่าเริ่มต้น