Snort by die VPN-rand: waar die pakkette sigbaar is

Volg een versoek vanaf ’n afgeleë skootrekenaar en dit steek verskeie grense oor voordat enigiets dit kan inspekteer. Die buitenste tonnel eindig by die VPN-proses, die binneste pakket verskyn op ’n koppelvlak, en die HTTPS-sessie binne hou aan na die toepassing. ’n Inspeksiegereedskap sien net wat sigbaar is by die punt waar pakkette dit bereik. Installeer een sonder om daardie punt te bepaal, en die logboeke beskryf die verkeerde laag.

Een pakket steek verskeie grense oor

Voor VPN-beëindiging sien die waarnemer een buitenste verbinding, tipies na die VPN-poort, met adresse en groottes maar geen binneste struktuur. Na beëindiging is die binneste adresse, poorte en protokolle beskikbaar by watter verwerkingspunt dit ook al oordra. Die toepassing se eie TLS bly versleutel tensy ’n aparte ontwerp dit beëindig. Dit is drie sigbaarheidsvlakke, en ’n pakketnaam sê nie vir jou watter een jy gekoop het nie.

Teken die pad met die grense gemerk, en plaas dan die sensor op die lyn waar die vraag beantwoord kan word, want die ligging is deel van die antwoord. ’n Grens wat jy nie kan benoem nie, is ’n grens wat jy nie kan toets nie.

Sien wat by elke punt leesbaar is

Kontroleer die koppelvlak en ’n kort opname voordat jy enige beskrywing van die argitektuur vertrou.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Die skakellys wys die tonnel- en fisiese koppelvlakke wat bestaan, en die opname wys presies wat ’n sensor wat daar aangeheg is, sou ontvang. As dit binneste adresse wys maar geen HTTP-versoeklyne nie, is jy ná VPN-beëindiging en steeds buite die toepassing se TLS. Dit is die normale plek vir netwerkopsporing en die verkeerde plek vir inhoudinspeksie. Herhaal die opname op die buitenste koppelvlak om te vergelyk wat die ander grens blootlê.

Passiewe opsporing kan nie op sy eie blokkeer nie

Snort se inspeksiedokumentasie skei passiewe waarneming van inlynwerking. Passiewe modus kan op verkeer alarm maak sonder om dit op daardie pad te stop.

snort -T -c /etc/snort/snort.lua

Toetsmodus valideer die konfigurasie sonder om die sensor te laat loop, wat die regte eerste stap voor enige ontplooiing is. Inlynwerking benodig ’n versoenbare reëling vir pakketverkryging en ooreenstemmende handhawingskonfigurasie, nie net ’n ekstra vlag nie. ’n Loginskrywing is dus nie bewys dat ’n versoek verhoed is nie, en ’n proses wat met ’n inlyn-agtige opsie begin is, bewys nie dat die werklike deurgevoerde vloei daardeur gaan nie. Bevestig waar die implementering pakkette werklik oorhandig.

Kies die handhawingsmodus voordat jy ontplooi

Besluit of die vereiste sigbaarheid of voorkoming is, want die twee het verskillende falinggedrag. ’n Passiewe sensor wat sterf, laat verkeer vloei en skep ’n moniteringsgaping; ’n inlyntoestel wat sterf, kan verkeer deurlaat of stop, en daardie keuse moet doelbewus wees. Stem oor een toegelate vloei, een vloei wat geweier moet word, en die gedrag wat jy wil hê wanneer die sensor faal. Hou bestuurherstel apart van die geïnspekteerde pad, sodat ’n fout in die sensor nie ook jou toegang verwyder nie.

Teken dan die sigbare verkeer, die verwerkingspunt en die handhawingsgedrag aan. Daardie drie feite, nie die geïnstalleerde pakket nie, beskryf wat die ontplooiing werklik doen.