VPN serverida kiruvchi ogohlantirish: kuzatuv nuqtasini o'qing

VPN orqasidagi server o'zining ommaviy xizmat yozuvlarini saqlaydi va odamlar ularni topishda davom etadi. Ogohlantirishlar navbatiga keladigan narsa bitta topilma emas, uchta mumkin bo'lgan topilma va ular turlicha ma'no beradi. Birinchi vazifa — ochiq xizmatni ochiq kirish ma'lumotlaridan ajratish.

Kuzatuv nuqtalarini tartib bilan ko'rib chiqing. Dalil o'z toifasini o'zgartirganda to'xtang, chunki keyingi bosqich boshqa savolga javob beradi.

Birinchi bosqich: tutish aslida nimani ko'rgan

Paket tutish yo'ldagi o'z nuqtasida ko'rinadigan narsani qayd etadi. Bu nuqta keyingi filtrlash qaroridan oldin bo'lishi mumkin. Tutib olingan paket trafik u yerga yetib kelganini isbotlaydi. Keyin nima bo'lgani haqida hech narsani isbotlamaydi.

Interfeysga ham e'tibor bering. Ommaviy adapterdagi tutish va tunnel ichidagi tutish turli kelish nuqtalarini tasvirlaydi, noto'g'ri nuqtani ko'rsatgan ogohlantirish esa noto'g'ri xulosaga olib keladi.

Windows stekning bir necha qatlamida ham filtrlaydi, shuning uchun tutish vositasi ikkinchi qatlamda, xavfsizlik devori uchinchi qatlamda turadi degan tartibli model haqiqiy mahsulot bilan to'qnashganda bardosh bermaydi. Windows Filtering Platform sharhi stek qatlamlari bo'ylab filtrlashni tasvirlaydi, shuning uchun kuzatuv tartibini taxmin qilish emas, belgilash kerak.

Ikkinchi bosqich: rad etish yozuvi nimani tasdiqlaydi

Rad etish yozuvi siyosat chegarasi o'sha paketni rad etganini aytadi. Bu kuchli dalil. U tor dalil ham, chunki bitta chegaradagi bitta qarorni qamrab oladi. Stekdagi boshqa hech narsa bu bilan tasvirlanmaydi.

Kortej va vaqt tamg'asi bo'yicha moslashtiring. Xuddi shu manba, xuddi shu manzil, xuddi shu port, xuddi shu soniya ichida. Bunday moslik bo'lmasa, boshqa jurnaldagi o'xshash voqea shunchaki boshqa voqea va ularni juftlashtirish hech kim himoya qila olmaydigan hikoyani keltirib chiqaradi.

# what did the firewall actually drop, and when?
Get-NetFirewallProfile -PolicyStore ActiveStore | Select-Object Name, LogAllowed, LogBlocked
Get-Content "$env:systemroot\System32\LogFiles\Firewall\pfirewall.log" | Select-String 'DROP'

# correlate with a listening service on the same port
Get-NetTCPConnection -LocalPort 3389 -State Listen | Select-Object LocalAddress, OwningProcess

Yopiq port va rad etilgan paket tashqaridan bir xil ko'rinadi va bu ikki natijada butunlay boshqacha. Aynan shu farq mahalliy yozuvni o'qishning butun sababidir.

Uchinchi bosqich: autentifikatsiya voqeasi nimani isbotlaydi

Autentifikatsiya voqeasi qandaydir komponent so'rovni natijani qayd etadigan darajagacha qayta ishlaganini aytadi. Uch bosqichdan faqat shu shaxsiyat haqida gapiradi va undan oldin qancha paket kelgani haqida hech narsa aytmaydi.

Voqeaning haqiqiy kontekstini o'qing. Mavjud bo'lmagan hisob uchun muvaffaqiyatsiz kirish skanerlash shovqini. Ishonchli manbaga ega haqiqiy hisob uchun muvaffaqiyatsiz kirish boshqa ustuvorlik. Muvaffaqiyatli sessiya butunlay boshqa voqea toifasi.

Protokol nomlariga ham qarang. RPC va RDP alohida portlarga ega alohida xizmatlar. Ulardan faqat birini kuzatadigan detektor ikkinchisini qamrab olmaydi. Tarmoq faoliyatini umumlashtiruvchi vositalar voqeani ikki tadan qaysi biri yaratganini har doim ham aytmaydi.

Bitta moslashtirilgan namuna dashborddan afzal

Bitta ruxsat etilgan sinovni tanlang, uni ataylab ishga tushiring va boshidan oxirigacha kuzatib boring: manzil va interfeys, haqiqiy manba manzili, xizmat porti, amaldagi xavfsizlik devori profili va qoidasi hamda mos keladigan xizmat natijasi. Bu zanjirga har qanday yuqori darajadagi xaritalash yoki bulut xavfsizlik devorini ham qo'shing, chunki u yerdagi ruxsat beruvchi qoida tartibli mahalliy qoidani bekor qilishi mumkin.

So'ngra ikki majburiyatni ajrating. Agar boshqaruv faqat VPN orqali bo'lishi kerak bo'lsa, tasdiqlangan tiklash yo'lini saqlab, uni ham ommaviy, ham tunnel yo'lida qo'llang. Rad etilgan urinishni kuzatish server nimani qabul qilishi kerakligini hal qilish bilan bir xil ish emas.

Geografik qoida yoki bloklangan aloqasiz protokol kuzatilgan yozuvni va u olgan qarorni topishning o'rnini bosmaydi. VPN ham emas: chiquvchi trafikni tunnel orqali yo'naltirish kiruvchi ruxsat haqida hech narsani qayd etmaydi.