Snort в края на VPN: където пакетите са видими

Проследете една заявка от отдалечен лаптоп и тя преминава през няколко граници, преди нещо да може да я инспектира. Външният тунел завършва в процеса на VPN, вътрешният пакет се появява на интерфейс, а сесията HTTPS вътре продължава към приложението. Инструментът за инспекция вижда само това, което е видимо в точката, където пакетите го достигат. Инсталирайте такъв, без да определите тази точка, и журналите описват грешния слой.

Един пакет преминава през няколко граници

Преди прекратяването на VPN наблюдателят вижда една външна връзка, обикновено към порта на VPN, с адреси и размери, но без вътрешна структура. След прекратяването вътрешните адреси, портове и протоколи са налични във всяка точка на обработка, която ги предава. Собственият TLS на приложението остава шифрован, освен ако отделен дизайн не го прекрати. Това са три нива на видимост и името на пакета не ви казва кое от тях сте купили.

Начертайте пътя с отбелязани граници, след което поставете сензора на линията, където въпросът може да получи отговор, защото местоположението е част от отговора. Граница, която не можете да назовете, е граница, която не можете да тествате.

Вижте какво се чете във всяка точка

Проверете интерфейса и кратък запис, преди да се доверите на каквото и да е описание на архитектурата.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Списъкът с връзки показва съществуващите тунелни и физически интерфейси, а записът показва точно какво би получил сензор, свързан там. Ако показва вътрешни адреси, но не и редове на HTTP заявки, вие сте след прекратяването на VPN и все още извън TLS на приложението. Това е нормалното място за мрежово откриване и грешното място за инспекция на съдържанието. Повторете записа на външния интерфейс, за да сравните какво разкрива другата граница.

Пасивното откриване не може да блокира само

Документацията на Snort за инспекция разделя пасивното наблюдение от работата по пътя. Пасивният режим може да предупреждава за трафик, без да го спира по този път.

snort -T -c /etc/snort/snort.lua

Тестовият режим проверява конфигурацията, без да стартира сензора, което е правилната първа стъпка преди всяко внедряване. Работата по пътя изисква съвместима схема за захващане на пакети и съответна конфигурация за прилагане, а не просто допълнителен флаг. Затова запис в журнала не е доказателство, че заявка е била предотвратена, а процес, стартиран с опция, подобна на работа по пътя, не доказва, че реалният препратен поток преминава през него. Потвърдете къде реализацията всъщност предава пакетите.

Изберете режима на прилагане преди внедряване

Решете дали изискването е видимост или предотвратяване, защото двете имат различно поведение при отказ. Пасивен сензор, който откаже, оставя трафика да тече и създава пропуск в мониторинга; устройство по пътя, което откаже, може да пропуска трафик или да го спира, и този избор трябва да е съзнателен. Договорете един разрешен поток, един поток, който трябва да бъде отказан, и поведението, което искате при отказ на сензора. Дръжте възстановяването на управлението отделно от инспектирания път, за да не премахне грешка в сензора и достъпа ви.

След това запишете видимия трафик, точката на обработка и поведението на прилагане. Тези три факта, а не инсталираният пакет, описват какво всъщност прави внедряването.