Snort ar ymyl VPN: lle mae’r pecynnau’n weladwy

Dilynwch un cais o liniadur o bell ac mae’n croesi sawl ffin cyn i unrhyw beth allu ei archwilio. Daw’r twnnel allanol i ben yn y broses VPN, mae’r pecyn mewnol yn ymddangos ar ryngwyneb, ac mae’r sesiwn HTTPS y tu mewn yn parhau at y cymhwysiad. Dim ond yr hyn sydd i’w weld yn y fan lle mae pecynnau’n ei gyrraedd y mae offeryn archwilio yn ei weld. Gosodwch un heb benderfynu’r fan honno, a bydd y cofnodion yn disgrifio’r haen anghywir.

Mae un pecyn yn croesi sawl ffin

Cyn terfynu VPN mae’r arsylwr yn gweld un cysylltiad allanol, fel arfer i borth VPN, gyda chyfeiriadau a meintiau ond heb strwythur mewnol. Ar ôl terfynu mae’r cyfeiriadau, y pyrth a’r protocolau mewnol ar gael yn y fan brosesu sy’n eu trosglwyddo. Mae TLS y cymhwysiad ei hun yn aros wedi’i amgryptio oni bai bod dyluniad ar wahân yn ei derfynu. Mae’r rhain yn dri lefel o welededd, ac nid yw enw’r pecyn yn dweud pa un a brynwyd gennych.

Tynnwch y llwybr gyda’r ffiniau wedi’u marcio, yna rhowch y synhwyrydd ar y llinell lle gellir ateb y cwestiwn, oherwydd mae’r lleoliad yn rhan o’r ateb. Mae ffin na allwch ei henwi yn ffin na allwch ei phrofi.

Gwelwch beth sy’n ddarllenadwy ym mhob man

Gwiriwch y rhyngwyneb a chrynoad byr cyn credu unrhyw ddisgrifiad o’r bensaernïaeth.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Mae’r rhestr cysylltau’n dangos y twneli a’r rhyngwynebau ffisegol sy’n bodoli, ac mae’r crynoad yn dangos yn union beth y byddai synhwyrydd wedi’i gysylltu yno yn ei dderbyn. Os yw’n dangos cyfeiriadau mewnol ond dim llinellau cais HTTP, rydych chi ar ôl terfynu VPN ac yn dal y tu allan i TLS y cymhwysiad. Dyma’r man arferol ar gyfer canfod rhwydwaith a’r man anghywir ar gyfer archwilio cynnwys. Ailadroddwch y crynoad ar y rhyngwyneb allanol i gymharu beth mae’r ffin arall yn ei ddinoethi.

Ni all canfod goddefol rwystro ar ei ben ei hun

Mae dogfennaeth archwilio Snort yn gwahanu arsylwi goddefol oddi wrth weithredu mewn-lein. Gall modd goddefol rybuddio am draffig heb ei atal ar y llwybr hwnnw.

snort -T -c /etc/snort/snort.lua

Mae modd prawf yn dilysu’r ffurfweddiad heb redeg y synhwyrydd, sef y cam cyntaf cywir cyn unrhyw osod. Mae gweithredu mewn-lein angen trefniant casglu pecynnau cydnaws a ffurfweddiad gorfodi cyfatebol, nid yn unig blaenydd ychwanegol. Felly nid yw cofnod yn y log yn brawf bod cais wedi’i rwystro, ac nid yw proses a gychwynnwyd gyda opsiwn sy’n edrych fel mewn-lein yn profi bod y llif a anfonir ymlaen yn mynd drwyddo. Cadarnhewch ble mae’r gweithrediad yn trosglwyddo pecynnau mewn gwirionedd.

Dewiswch y modd gorfodi cyn gosod

Penderfynwch ai gwelededd neu atal yw’r gofyniad, oherwydd mae gan y ddau ymddygiad methu gwahanol. Mae synhwyrydd goddefol sy’n marw yn gadael traffig yn llifo ac yn creu bwlch monitro; gall dyfais mewn-lein sy’n marw adael traffig drwodd neu ei atal, a rhaid i’r dewis hwnnw fod yn fwriadol. Cytunwch ar un llif a ganiateir, un llif y mae’n rhaid ei wrthod, a’r ymddygiad rydych chi ei eisiau pan fydd y synhwyrydd yn methu. Cadwch adferiad rheolaeth ar wahân i’r llwybr a archwilir, fel nad yw camgymeriad yn y synhwyrydd yn tynnu eich mynediad hefyd.

Yna cofnodwch y traffig gweladwy, y fan brosesu a’r ymddygiad gorfodi. Mae’r tri ffaith hyn, nid y pecyn a osodwyd, yn disgrifio beth mae’r gosodiad yn ei wneud mewn gwirionedd.