VPN kənarında Snort: paketlərin göründüyü yer

Uzaq bir noutbukdan tək bir sorğunu izləyin və hər hansı bir şey onu yoxlaya bilməzdən əvvəl o, bir neçə sərhədi keçir. Xarici tunel VPN prosesində bitir, daxili paket interfeysdə görünür və içindəki HTTPS sessiyası tətbiqə qədər davam edir. Yoxlama aləti yalnız paketlərin ona çatdığı nöqtədə görünəni görür. Həmin nöqtəni müəyyən etmədən alət quraşdırsanız, jurnallar səhv qatı təsvir edir.

Bir paket bir neçə sərhədi keçir

VPN sonlanmasından əvvəl müşahidəçi bir xarici bağlantı görür, adətən VPN portuna, ünvanlar və ölçülərlə, lakin daxili struktur olmadan. Sonlanmadan sonra daxili ünvanlar, portlar və protokollar hansı emal nöqtəsi onları ötürürsə, orada əlçatan olur. Tətbiqin öz TLS-i ayrı bir dizayn onu sonlandırmasa, şifrəli qalır. Bunlar üç görünürlük səviyyəsidir və paketin adı hansını aldığınızı demir.

Yolu sərhədləri işarələyərək çəkin, sonra sensoru sualın cavablandırıla biləcəyi xəttə qoyun, çünki yer cavabın bir hissəsidir. Ad verə bilmədiyiniz sərhəd sınaqdan keçirə bilmədiyiniz sərhəddir.

Hər nöqtədə oxuna biləni görün

Arxitekturanın hər hansı təsvirinə etibar etməzdən əvvəl interfeysi və qısa çəkilişi yoxlayın.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Bağlantı siyahısı mövcud tunel və fiziki interfeysləri göstərir və çəkiliş oraya qoşulmuş sensorun dəqiq nə alacağını göstərir. Daxili ünvanlar göstərib HTTP sorğu sətirləri göstərmirsə, siz VPN sonlanmasından sonrasınız və hələ də tətbiqin TLS-indən kənardasınız. Bu, şəbəkə aşkarlanması üçün normal yerdir və məzmun yoxlaması üçün səhv yerdir. Digər sərhədin nə göstərdiyini müqayisə etmək üçün çəkilişi xarici interfeysdə təkrarlayın.

Passiv aşkarlama tək başına bloklaya bilməz

Snort-un yoxlama sənədləri passiv müşahidəni daxili işləmədən ayırır. Passiv rejim trafik barədə xəbərdarlıq verə bilər, lakin onu həmin yolda dayandırmır.

snort -T -c /etc/snort/snort.lua

Test rejimi konfiqurasiyanı sensoru işə salmadan yoxlayır və bu, hər hansı yerləşdirmədən əvvəl düzgün ilk addımdır. Daxili işləmə uyğun paket əldə etmə quruluşu və uyğun icra konfiqurasiyası tələb edir, sadəcə əlavə bayraq deyil. Buna görə jurnal qeydi sorğunun qarşısının alındığına dair sübut deyil və daxili görünən seçimlə başladılmış proses real ötürülən axının ondan keçdiyini sübut etmir. Tətbiqin paketləri həqiqətən harada ötürdüyünü təsdiqləyin.

Yerləşdirmədən əvvəl icra rejimini seçin

Tələbin görünürlük yoxsa qarşısının alınması olduğuna qərar verin, çünki ikisi fərqli uğursuzluq davranışı daşıyır. Ölən passiv sensor trafiki axmağa qoyur və monitorinq boşluğu yaradır; ölən daxili cihaz trafiki keçirə və ya dayandıra bilər və bu seçim qəsdən edilməlidir. Bir icazəli axın, rədd edilməli bir axın və sensor uğursuz olduqda istədiyiniz davranış barədə razılaşın. İdarəetmə bərpasını yoxlanılan yoldan ayrı saxlayın ki, sensordakı səhv də girişinizi götürməsin.

Sonra görünən trafiki, emal nöqtəsini və icra davranışını qeyd edin. Yerləşdirmənin həqiqətən nə etdiyini quraşdırılmış paket deyil, bu üç fakt təsvir edir.