Hanapin ang mga itinapong VPN packet nang hindi kinukuha ang nilalaman

Tumataas ang counter ng firewall kapag tumugma ang isang packet sa isang panuntunan, at ginagawa ito nang hindi pinapanatili ang packet. Sapat na ito upang sagutin ang unang tanong sa karamihan ng pagsisiyasat ng pagtapon: umabot ba ang flow sa panuntunang ito. Iba ang sinasagot ng pagkuha ng payload, at kinokolekta nito ang lahat ng iba pang tumatawid sa interface habang tumatakbo. Magsimula sa counter, at lumipat sa pag-log ng metadata lamang kapag malabo ang counter.

Sinasagot ng mga counter ang unang tanong

Bawat panuntunan na maaaring tumugma ay may counter, at ang pagbasa nito bago at pagkatapos ng pagsubok ay nagsasabi kung dumating ang trapiko. Iyon ay paghahambing ng dalawang numero at hindi archive, at wala itong gastos sa storage o pagkalantad.

Basahin ang mga counter gamit ang tool na nagmamay-ari ng mga panuntunan:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Ang delta ang ebidensya. Ang panuntunang hindi gumagalaw ang counter ay hindi kailanman nakakita ng flow, na tumutukoy sa mas maagang hangganan: maling interface, maling talahanayan, o rutang hindi kailanman nagpadala ng packet doon. Ang panuntunang gumagalaw ang counter at nagtatapon pa rin ay nagsasabi na ginagawa ng patakaran ang isinulat nito.

Ano ang hindi masasabi ng counter

Ang counter ay nagbibigay ng numero, hindi dahilan. Hindi nito matukoy ang packet na tumugma sa address mula sa tumugma sa port, at hindi nito masasabi kung alin sa dalawang magkatulad na panuntunan ang humuli ng flow. Hindi rin nito masasabi kung itinapon, tinanggihan, o tinanggap at pagkatapos nawala ang packet, maliban kung babasahin mo ang panuntunang nagmamay-ari ng counter.

Dito pumapasok ang pag-log ng metadata, at ang saklaw ang buong usapan. I-log ang interface, direksyon, mga address, protocol, at hatol para sa isang partikular na test flow. Hinahanap ng mga field na iyon ang nabigong hangganan nang hindi itinatala kung ano ang ginagawa ng user.

Ang pag-log ng payload ay sumasagot sa ibang tanong, at sinasagot ito tungkol sa lahat sa interface.

Pag-log ng metadata na may makitid na saklaw

Sumulat ng panuntunang tumutugma lamang sa iyong test flow, bigyan ito ng natatanging prefix, at limitahan ang rate nito sa ilalim ng sariling mga kontrol ng platform upang ang ordinaryong pagtatangka muli ay hindi umapaw sa storage. Ang prefix ang nagbibigay-daan sa iyo na hanapin ang iyong mga entry sa lahat ng iba pang nila-log ng device.

Iwasan ang pagpapagana ng pag-log ng payload o walang limitasyong pag-log ng packet dahil lang may feature. Ang pinutol na pagkuha ay hindi rin awtomatikong walang payload, dahil iba-iba ang laki ng header at layout ng packet, kaya ang snap length na mukhang maliit ay maaari pa ring magdala ng application bytes.

Kung kailangan mong kumuha, kumuha ng isang flow, sa limitadong oras, gamit ang pinakamaliit na snap length na sumasagot sa iyong tanong.

Itugma ang isang bagong kahilingan

Bumuo ng hindi nakakapinsalang trapiko na sumusunod sa aktwal na ruta ng kliyente, pagkatapos ay ihambing ang mga kaugnay na counter bago at pagkatapos. Ang lokal na pagsubok sa gateway ay maaaring lubos na makaligtaan ang panuntunan sa pagpapasa, dahil hindi kailanman tinatahak ng packet ang landas ng pagpapasa. Ang naitatag na session ay maaari ring tumugma sa ibang paghawak ng estado kaysa sa bagong koneksyon, kaya ang pangmatagalang flow ay hindi kapalit ng bago.

Limitahan ang window sa oras at isulat ito. Sa pagitan ng dalawang tinukoy na minuto, mula sa address ng kliyenteng ito, patungo sa destinasyong ito sa protocol na ito ay isang diagnosis. Kahit kailan kaninang umaga ay isang paghahanap.

Isang flow, isang window, isang hangganan ang yunit ng pag-unlad dito.

Maglinis at itago lamang ang sipi

Alisin ang pansamantalang diagnostic na panuntunan sa pamamagitan ng pagmamay-aring configuration sa sandaling matapos ang pagsisiyasat. Ang makitid na panuntunan sa pag-log na naiwan ay nagiging hindi sinasadyang sistema ng talaan, at walang nakakaalala kung bakit ito umiiral pagkaraan ng anim na buwan.

Itago nang pribado ang orihinal na mga talaan kapag hinihingi ito ng patakaran, at ibahagi ang sinuri na pinakamaliit na sipi sa halip na ang buong pagkuha. Ang mga address, identifier ng account, at panloob na topolohiya ay sensitibo kahit walang payload. Ituring ang sipi bilang dokumentong may may-ari. I-redact ang anumang hindi kailangan ng diagnosis.

Ang layunin ay isang partikular na nabigong hangganan para sa isang partikular na kahilingan. Anumang gumagawa ng kumpletong archive ng lahat ng gumagamit ng VPN ay lumampas sa diagnosis at nagsimula ng ibang proyekto. Tingnan ang dokumentasyon ng pag-log ng platform kung ano ang itinatala bilang default bago magdagdag ng anuman.