Tìm gói VPN bị loại bỏ mà không bắt nội dung của chúng

Bộ đếm tường lửa tăng khi một gói khớp với quy tắc, và nó làm vậy mà không giữ lại gói. Thế là đủ để trả lời câu hỏi đầu tiên trong hầu hết các cuộc điều tra loại bỏ: luồng có đến được quy tắc này hay không. Việc bắt gói nội dung trả lời một câu hỏi khác, và nó thu thập mọi thứ khác đi qua giao diện trong khi chạy. Hãy bắt đầu với bộ đếm, và chỉ chuyển sang ghi nhật ký siêu dữ liệu khi bộ đếm mơ hồ.

Bộ đếm trả lời câu hỏi đầu tiên

Mọi quy tắc có thể khớp đều có bộ đếm, và đọc nó trước và sau một thử nghiệm cho biết lưu lượng có đến hay không. Đó là so sánh hai con số chứ không phải kho lưu trữ, và không tốn gì về lưu trữ hay phơi bày.

Đọc bộ đếm bằng công cụ sở hữu các quy tắc:

iptables -L FORWARD -v -n --line-numbers
nft list ruleset

Delta là bằng chứng. Một quy tắc có bộ đếm không nhích lên chưa bao giờ thấy luồng, điều này chỉ ra một ranh giới sớm hơn: giao diện sai, bảng sai hoặc tuyến đường chưa bao giờ gửi gói đến đó. Một quy tắc có bộ đếm nhích lên mà vẫn loại bỏ cho bạn biết chính sách đang làm đúng điều nó được viết ra để làm.

Điều bộ đếm không thể cho bạn biết

Bộ đếm cho bạn một con số, không phải lý do. Nó không thể phân biệt gói khớp theo địa chỉ với gói khớp theo cổng, và không thể nói quy tắc nào trong hai quy tắc tương tự đã bắt được luồng. Nó cũng không thể nói gói đã bị loại bỏ, bị từ chối hay được chấp nhận rồi mất sau đó, trừ khi bạn đọc quy tắc sở hữu bộ đếm.

Đây là lúc ghi nhật ký siêu dữ liệu xuất hiện, và phạm vi là toàn bộ vấn đề. Ghi lại giao diện, hướng, địa chỉ, giao thức và phán quyết cho một luồng thử nghiệm cụ thể. Những trường đó xác định ranh giới thất bại mà không ghi lại người dùng đang làm gì.

Ghi nhật ký nội dung trả lời một câu hỏi khác, và nó trả lời về mọi người trên giao diện.

Ghi nhật ký siêu dữ liệu với phạm vi hẹp

Viết một quy tắc chỉ khớp với luồng thử nghiệm của bạn, gán cho nó tiền tố dễ nhận biết, và giới hạn tốc độ dưới chính kiểm soát của nền tảng để một lần thử lại thông thường không làm tràn lưu trữ. Tiền tố chính là thứ cho phép bạn tìm các mục của mình giữa mọi thứ khác mà thiết bị ghi lại.

Tránh bật ghi nhật ký nội dung hoặc gói không giới hạn chỉ vì tính năng đó tồn tại. Một bản bắt bị cắt ngắn cũng không tự động không có nội dung, vì kích thước tiêu đề và cách bố trí gói khác nhau, nên độ dài ảnh chụp trông nhỏ vẫn có thể mang byte của ứng dụng.

Nếu buộc phải bắt, hãy bắt một luồng, trong thời gian giới hạn, với độ dài ảnh chụp nhỏ nhất trả lời câu hỏi của bạn.

Khớp một yêu cầu mới

Tạo lưu lượng vô hại đi theo tuyến thực tế của máy khách, sau đó so sánh các bộ đếm liên quan trước và sau. Một thử nghiệm cục bộ trên cổng có thể bỏ lỡ hoàn toàn quy tắc chuyển tiếp, vì gói không bao giờ đi theo đường chuyển tiếp. Một phiên đã thiết lập cũng có thể khớp với cách xử lý trạng thái khác với kết nối mới, nên luồng sống lâu không thay thế luồng mới.

Giới hạn khung thời gian và ghi lại. Giữa hai phút cụ thể, từ địa chỉ máy khách này, đến đích này trên giao thức này là một chẩn đoán. Đâu đó sáng nay là một cuộc tìm kiếm.

Một luồng, một khung thời gian, một ranh giới là đơn vị tiến bộ ở đây.

Dọn dẹp và chỉ giữ lại đoạn trích

Xóa quy tắc chẩn đoán tạm thời thông qua cấu hình sở hữu ngay khi cuộc điều tra kết thúc. Một quy tắc ghi nhật ký hẹp bị bỏ lại sẽ trở thành hệ thống ghi chép ngoài ý muốn, và không ai nhớ vì sao nó tồn tại sáu tháng sau.

Giữ hồ sơ gốc riêng tư khi chính sách yêu cầu, và chia sẻ một đoạn trích tối thiểu đã được xem xét thay vì toàn bộ bản bắt. Địa chỉ, định danh tài khoản và cấu trúc liên kết nội bộ đều nhạy cảm ngay cả khi không có nội dung. Hãy coi đoạn trích là tài liệu có chủ sở hữu. Che mọi thứ mà chẩn đoán không cần.

Mục tiêu là một ranh giới thất bại cụ thể cho một yêu cầu cụ thể. Bất cứ thứ gì tạo ra kho lưu trữ đầy đủ của mọi người dùng VPN đều đã vượt quá chẩn đoán và bắt đầu một dự án khác. Kiểm tra tài liệu ghi nhật ký của nền tảng về những gì được ghi mặc định trước khi thêm bất cứ điều gì.