Знайдіть відкинуті пакети VPN, не записуючи їхній вміст

Лічильник міжмережевого екрана збільшується, коли пакет відповідає правилу, і робить це, не зберігаючи пакет. Цього достатньо, щоб відповісти на перше питання в більшості розслідувань відкидання: чи потік узагалі дійшов до цього правила. Запис корисного навантаження відповідає на інше питання і збирає все інше, що перетинає інтерфейс під час роботи. Почніть із лічильника і переходьте до журналювання метаданих лише тоді, коли лічильник неоднозначний.

Лічильники відповідають на перше питання

Кожне правило, яке може збігтися, має лічильник, і читання його до та після тесту говорить, чи надійшов трафік. Це порівняння двох чисел, а не архів, і воно нічого не коштує у зберіганні чи розкритті.

Читайте лічильники інструментом, якому належать правила:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Дельта — це доказ. Правило, лічильник якого не рухається, ніколи не бачило потік, що вказує на ранішу межу: неправильний інтерфейс, неправильна таблиця або маршрут, який ніколи не надсилав пакет туди. Правило, лічильник якого рухається і яке все одно відкидає, каже, що політика робить те, для чого була написана.

Чого лічильник не може сказати

Лічильник дає число, а не причину. Він не може відрізнити пакет, що збігся за адресою, від пакета, що збігся за портом, і не може сказати, яке з двох схожих правил спіймало потік. Він також не може сказати, чи пакет було відкинуто, відхилено чи прийнято і потім втрачено, якщо ви не прочитаєте правило, якому належить лічильник.

Ось тут і з'являється журналювання метаданих, і охоплення — це вся суть. Записуйте інтерфейс, напрямок, адреси, протокол і вердикт для конкретного тестового потоку. Ці поля знаходять невдалу межу, не записуючи, що робив користувач.

Журналювання корисного навантаження відповідає на інше питання і відповідає на нього про всіх в інтерфейсі.

Журналювання метаданих із вузьким охопленням

Напишіть правило, що збігається лише з вашим тестовим потоком, дайте йому виразний префікс і обмежте його швидкість власними засобами платформи, щоб звичайна повторна спроба не затопила сховище. Саме префікс дозволяє знайти ваші записи серед усього іншого, що журналює пристрій.

Уникайте вмикання журналювання корисного навантаження або необмеженого журналювання пакетів лише тому, що така функція існує. Урізаний захват теж не є автоматично вільним від навантаження, оскільки розміри заголовків і компонування пакетів різняться, тому зовні мала довжина знімка все ще може нести байти застосунку.

Якщо треба захоплювати, захопіть один потік, на обмежений час, із найменшою довжиною знімка, що відповідає на ваше питання.

Зіставте один новий запит

Створіть нешкідливий трафік, що йде реальним маршрутом клієнта, потім порівняйте відповідні лічильники до і після. Локальний тест на шлюзі може повністю пропустити правило пересилання, бо пакет ніколи не йде шляхом пересилання. Встановлена сесія також може відповідати іншій обробці стану, ніж нове з'єднання, тому довготривалий потік не замінює свіжий.

Обмежте вікно в часі й запишіть його. Між двома вказаними хвилинами, з цієї адреси клієнта, до цього призначення за цим протоколом — це діагноз. Десь сьогодні вранці — це пошук.

Один потік, одне вікно, одна межа — це одиниця прогресу тут.

Приберіть і залиште лише витяг

Видаліть тимчасове діагностичне правило через відповідну конфігурацію, щойно розслідування завершиться. Вузьке правило журналювання, залишене на місці, стає ненавмисною системою запису, і через півроку ніхто не пам'ятає, чому воно існує.

Тримайте оригінальні записи приватними, коли цього вимагає політика, і діліться переглянутим мінімальним витягом замість усього захоплення. Адреси, ідентифікатори облікових записів і внутрішня топологія чутливі навіть тоді, коли навантаження немає. Ставтеся до витягу як до документа з власником. Приховуйте все, що не потрібне діагнозу.

Мета — конкретна невдала межа для конкретного запиту. Усе, що створює повний архів усіх, хто користується VPN, вийшло за межі діагнозу і почало інший проєкт. Перш ніж щось додати, перегляньте документацію платформи щодо журналювання, що вона записує за замовчуванням.