Snort عند طرف VPN: حيث تكون الحزم مرئية

تتبّع طلبًا واحدًا من حاسوب محمول بعيد، وسيعبر عدة حدود قبل أن يستطيع أي شيء فحصه. ينتهي النفق الخارجي عند عملية VPN، وتظهر الحزمة الداخلية على واجهة، وتستمر جلسة HTTPS في الداخل نحو التطبيق. لا ترى أداة الفحص إلا ما هو مرئي عند النقطة التي تصل إليها الحزم. ثبّت أداة دون تحديد تلك النقطة، وستصف السجلات الطبقة الخطأ.

حزمة واحدة تعبر عدة حدود

قبل إنهاء VPN يرى المراقب اتصالًا خارجيًا واحدًا، عادةً إلى منفذ VPN، مع العناوين والأحجام لكن دون بنية داخلية. بعد الإنهاء تصبح العناوين والمنافذ والبروتوكولات الداخلية متاحة عند أي نقطة معالجة تسلّمها. يبقى TLS الخاص بالتطبيق مشفّرًا ما لم يُنهه تصميم منفصل. هذه ثلاث مستويات رؤية، واسم الحزمة لا يخبرك أيها اشتريت.

ارسم المسار مع تمييز الحدود، ثم ضع المستشعر على الخط حيث يمكن الإجابة عن السؤال، لأن الموقع جزء من الإجابة. الحدّ الذي لا تستطيع تسميته هو حدّ لا تستطيع اختباره.

انظر ما يمكن قراءته عند كل نقطة

افحص الواجهة والتقاطًا قصيرًا قبل أن تثق بأي وصف للبنية.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

تُظهر قائمة الروابط النفق والواجهات الفيزيائية الموجودة، ويُظهر الالتقاط بالضبط ما الذي سيتلقاه مستشعر موصول هناك. إذا أظهر عناوين داخلية دون أسطر طلب HTTP، فأنت بعد إنهاء VPN وما زلت خارج TLS الخاص بالتطبيق. هذا هو المكان الطبيعي لكشف الشبكة والمكان الخطأ لفحص المحتوى. أعد الالتقاط على الواجهة الخارجية لمقارنة ما يكشفه الحدّ الآخر.

الكشف السلبي لا يستطيع الحجب بمفرده

تفصل وثائق فحص Snort بين المراقبة السلبية والتشغيل ضمن المسار. يمكن للنمط السلبي أن ينبّه على حركة المرور دون إيقافها على ذلك المسار.

snort -T -c /etc/snort/snort.lua

يتحقق نمط الاختبار من التهيئة دون تشغيل المستشعر، وهو الخطوة الأولى الصحيحة قبل أي نشر. يحتاج التشغيل ضمن المسار إلى ترتيب متوافق لالتقاط الحزم وإلى تهيئة إنفاذ مطابقة، لا مجرد علامة إضافية. لذا فإن سجلًا في السجل ليس دليلًا على منع طلب، وعملية بدأت بخيار يشبه التشغيل ضمن المسار لا تُثبت أن التدفق الممرر الحقيقي يمر عبرها. تأكّد من أين تسلّم التهيئة الحزم فعليًا.

اختر نمط الإنفاذ قبل النشر

قرّر ما إذا كان المطلوب الرؤية أم المنع، لأن الاثنين يحملان سلوك فشل مختلفًا. المستشعر السلبي الذي يتعطّل يترك حركة المرور تمرّ وينتج فجوة مراقبة؛ أما جهاز ضمن المسار يتعطّل فيمكنه تمرير الحركة أو إيقافها، ويجب أن يكون ذلك الاختيار متعمّدًا. اتفق على تدفق مسموح واحد، وتدفق واحد يجب رفضه، والسلوك الذي تريده عند فشل المستشعر. أبقِ استعادة الإدارة منفصلة عن المسار المفحوص، حتى لا يؤدي خطأ في المستشعر إلى إزالة وصولك أيضًا.

ثم سجّل حركة المرور المرئية ونقطة المعالجة وسلوك الإنفاذ. هذه الحقائق الثلاث، لا الحزمة المثبّتة، هي التي تصف ما يفعله النشر فعليًا.