Snort ĉe la VPN-rando: kie la pakaĵoj estas videblaj

Spuru unu peton de fora tekkomputilo kaj ĝi transiras plurajn limojn antaŭ ol io povas inspekti ĝin. La ekstera tunelo finiĝas ĉe la VPN-procezo, la interna pakaĵo aperas sur interfaco, kaj la HTTPS-sesio interne daŭras al la aplikaĵo. Inspekta ilo vidas nur tion, kio estas videbla ĉe la punkto, kie la pakaĵoj atingas ĝin. Instalu unu sen decidi tiun punkton, kaj la protokoloj priskribos la malĝustan tavolon.

Unu pakaĵo transiras plurajn limojn

Antaŭ la VPN-fino la observanto vidas unu eksteran konekton, kutime al la VPN-pordo, kun adresoj kaj grandoj sed sen interna strukturo. Post la fino la internaj adresoj, pordoj kaj protokoloj disponeblas ĉe tiu prilabora punkto, kiu transdonas ilin. La propra TLS de la aplikaĵo restas ĉifrita krom se aparta dezajno finas ĝin. Tiuj estas tri niveloj de videbleco, kaj pakaĵa nomo ne diras al vi, kiun vi aĉetis.

Desegnu la vojon kun markitaj limoj, poste metu la sensilon sur la linion, kie la demando povas esti respondita, ĉar la loko estas parto de la respondo. Limo, kiun vi ne povas nomi, estas limo, kiun vi ne povas testi.

Vidu, kio estas legebla ĉe ĉiu punkto

Kontrolu la interfacon kaj mallongan registradon antaŭ ol fidi ajnan priskribon de la arkitekturo.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

La liga listo montras la ekzistantajn tunelojn kaj fizikajn interfacojn, kaj la registrado montras ĝuste tion, kion ricevus tie konektita sensilo. Se ĝi montras internajn adresojn sed neniujn HTTP-petajn liniojn, vi estas post la VPN-fino kaj ankoraŭ ekster la TLS de la aplikaĵo. Tio estas la normala loko por reta detekto kaj la malĝusta loko por enhava inspektado. Ripetu la registradon sur la ekstera interfaco por kompari, kion la alia limo malkaŝas.

Pasiva detekto ne povas bloki memstare

La inspekta dokumentaro de Snort apartigas pasivan observadon de enlinia operacio. Pasiva reĝimo povas averti pri trafiko sen haltigi ĝin sur tiu vojo.

snort -T -c /etc/snort/snort.lua

Testa reĝimo validigas la agordon sen lanĉi la sensilon, kio estas la ĝusta unua paŝo antaŭ ajna deplojo. Enlinia operacio bezonas kongruan aranĝon por akiri pakaĵojn kaj kongruan agordon por plenumo, ne nur plian flagon. Protokola enskribo do ne estas pruvo, ke peto estis malhelpita, kaj procezo lanĉita kun enlinieca opcio ne pruvas, ke la reala plusendita fluo pasas tra ĝi. Konfirmu, kie la efektivigo fakte transdonas la pakaĵojn.

Elektu la plenuman reĝimon antaŭ deplojo

Decidu, ĉu la postulo estas videbleco aŭ malhelpado, ĉar la du havas malsamajn malsukcesajn kondutojn. Pasiva sensilo, kiu mortas, lasas la trafikon flui kaj kreas monitoradbreĉon; enlinia aparato, kiu mortas, povas aŭ tralasi la trafikon aŭ haltigi ĝin, kaj tiu elekto devas esti intenca. Interkonsentu pri unu permesata fluo, unu fluo, kiu devas esti rifuzata, kaj la konduto, kiun vi volas, kiam la sensilo malsukcesas. Tenu administran restaŭron aparte de la inspektata vojo, por ke eraro en la sensilo ankaŭ ne forigu vian aliron.

Poste registru la videblan trafikon, la prilaboran punkton kaj la plenuman konduton. Tiuj tri faktoj, ne la instalita pakaĵo, priskribas, kion la deplojo fakte faras.