İçeriğini yakalamadan düşürülen VPN paketlerini bulun

Bir paket bir kuralla eşleştiğinde güvenlik duvarı sayacı artar ve bunu paketi tutmadan yapar. Bu, çoğu düşürme incelemesindeki ilk soruyu yanıtlamaya yeter: akış bu kurala hiç ulaştı mı. Yük yakalama başka bir soruyu yanıtlar ve çalışırken arayüzden geçen her şeyi toplar. Sayacla başlayın ve yalnızca sayaç belirsiz olduğunda üst veri günlüklemesine geçin.

Sayaçlar ilk soruyu yanıtlar

Eşleşebilecek her kuralın bir sayacı vardır ve bunu testten önce ve sonra okumak trafiğin gelip gelmediğini söyler. Bu bir arşiv değil iki sayının karşılaştırmasıdır ve depolama ya da maruz kalma açısından hiçbir maliyeti yoktur.

Sayaçları kurallara sahip araçla okuyun:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Fark kanıttır. Sayacı hareket etmeyen bir kural akışı hiç görmedi, bu da daha erken bir sınıra işaret eder: yanlış arayüz, yanlış tablo ya da paketi oraya hiç göndermeyen bir rota. Sayacı hareket edip yine de düşüren bir kural ise politikanın yazıldığı işi yaptığını söyler.

Bir sayacın size söyleyemeyeceği şey

Sayaç size bir sayı verir, neden değil. Adrese göre eşleşen bir paketi bağlantı noktasına göre eşleşenden ayıramaz ve iki benzer kuraldan hangisinin akışı yakaladığını söyleyemez. Sayaca sahip kuralı okumadıkça paketin düşürüldüğünü, reddedildiğini ya da kabul edilip sonra kaybolduğunu da söyleyemez.

İşte burada üst veri günlüklemesi devreye girer ve kapsam işin tamamıdır. Belirli bir test akışı için arayüzü, yönü, adresleri, protokolü ve kararı günlüğe kaydedin. Bu alanlar kullanıcının ne yaptığını kaydetmeden başarısız bir sınırı bulur.

Yük günlüklemesi başka bir soruyu yanıtlar ve bunu arayüzdeki herkes hakkında yanıtlar.

Dar kapsamlı üst veri günlüklemesi

Yalnızca test akışınızla eşleşen bir kural yazın, ona ayırt edici bir önek verin ve sıradan bir yeniden denemenin depolamayı taşırmaması için hızını platformun kendi kontrolleri altında sınırlayın. Önek, aygıtın günlüğe kaydettiği her şeyin arasında kayıtlarınızı bulmanızı sağlayan şeydir.

Yalnızca özellik var diye yük ya da sınırsız paket günlüklemesini etkinleştirmekten kaçının. Kısaltılmış bir yakalama da otomatik olarak yükten bağımsız değildir, çünkü başlık boyutları ve paket düzenleri değişir, bu yüzden küçük görünen bir anlık görüntü uzunluğu hâlâ uygulama baytları taşıyabilir.

Yakalamanız gerekiyorsa, tek bir akışı, sınırlı bir süre boyunca, sorunuzu yanıtlayan en küçük anlık görüntü uzunluğuyla yakalayın.

Yeni bir isteği eşleştirin

Gerçek istemci rotasını izleyen zararsız trafik oluşturun ve ardından ilgili sayaçları önce ve sonra karşılaştırın. Ağ geçidindeki yerel bir test, yönlendirme kuralını tamamen kaçırabilir çünkü paket hiçbir zaman yönlendirme yolunu izlemez. Kurulmuş bir oturum da yeni bir bağlantıdan farklı durum işlemesiyle eşleşebilir, bu yüzden uzun ömürlü bir akış yenisinin yerini tutmaz.

Pencereyi zamanla sınırlayın ve yazın. Belirtilen iki dakika arasında, bu istemci adresinden, bu protokolde bu hedefe — bu bir tanıdır. Bu sabah bir ara — bu bir aramadır.

Tek akış, tek pencere, tek sınır burada ilerlemenin birimidir.

Temizleyin ve yalnızca alıntıyı saklayın

İnceleme bittiğinde geçici tanılama kuralını sahibi olan yapılandırma üzerinden kaldırın. Yerinde bırakılan dar bir günlükleme kuralı istenmeyen bir kayıt sistemine dönüşür ve altı ay sonra kimse neden var olduğunu hatırlamaz.

Politika gerektirdiğinde özgün kayıtları gizli tutun ve tüm yakalama yerine gözden geçirilmiş asgari bir alıntı paylaşın. Adresler, hesap tanımlayıcıları ve iç topoloji yük olmasa bile hassastır. Alıntıyı sahibi olan bir belge gibi ele alın. Tanının ihtiyaç duymadığı her şeyi maskeleyin.

Amaç, belirli bir istek için belirli bir başarısız sınırdır. VPN kullanan herkesin tam bir arşivini üreten her şey tanıyı aşmış ve başka bir projeye başlamıştır. Bir şey eklemeden önce platformun günlükleme belgelerinde varsayılan olarak neyi kaydettiğine bakın.