Snort en el borde de la VPN: dónde son visibles los paquetes

Siga una sola solicitud desde un portátil remoto y atraviesa varias fronteras antes de que algo pueda inspeccionarla. El túnel exterior termina en el proceso de VPN, el paquete interior aparece en una interfaz y la sesión HTTPS interior continúa hasta la aplicación. Una herramienta de inspección solo ve lo que es visible en el punto donde le llegan los paquetes. Instale una sin decidir ese punto y los registros describirán la capa equivocada.

Un paquete atraviesa varias fronteras

Antes de la terminación de la VPN, el observador ve una conexión exterior, normalmente hacia el puerto de la VPN, con direcciones y tamaños pero sin estructura interior. Después de la terminación, las direcciones, los puertos y los protocolos interiores están disponibles en cualquier punto de procesamiento que los entregue. El TLS de la propia aplicación sigue cifrado a menos que un diseño separado lo termine. Esos son tres niveles de visibilidad, y el nombre de un paquete no le dice cuál compró.

Dibuje la ruta con las fronteras marcadas y luego coloque el sensor en la línea donde se puede responder la pregunta, porque la ubicación es parte de la respuesta. Una frontera que no puede nombrar es una frontera que no puede probar.

Vea qué es legible en cada punto

Compruebe la interfaz y una captura breve antes de confiar en cualquier descripción de la arquitectura.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

La lista de enlaces muestra los túneles y las interfaces físicas existentes, y la captura muestra exactamente qué recibiría un sensor conectado allí. Si muestra direcciones interiores pero ninguna línea de solicitud HTTP, está después de la terminación de la VPN y todavía fuera del TLS de la aplicación. Ese es el lugar normal para la detección de red y el lugar equivocado para la inspección del contenido. Repita la captura en la interfaz exterior para comparar qué expone la otra frontera.

La detección pasiva no puede bloquear por sí sola

La documentación de inspección de Snort separa la observación pasiva de la operación en línea. El modo pasivo puede alertar sobre el tráfico sin detenerlo en esa ruta.

snort -T -c /etc/snort/snort.lua

El modo de prueba valida la configuración sin ejecutar el sensor, que es el primer paso correcto antes de cualquier despliegue. La operación en línea necesita un acuerdo compatible de adquisición de paquetes y una configuración de aplicación correspondiente, no solo una opción adicional. Por lo tanto, una entrada de registro no es prueba de que se haya impedido una solicitud, y un proceso iniciado con una opción que parece en línea no demuestra que el flujo reenviado real pase por él. Confirme dónde entrega realmente los paquetes la implementación.

Elija el modo de aplicación antes de desplegar

Decida si el requisito es visibilidad o prevención, porque ambos conllevan un comportamiento de fallo distinto. Un sensor pasivo que muere deja el tráfico fluyendo y produce un vacío de monitorización; un dispositivo en línea que muere puede dejar pasar el tráfico o detenerlo, y esa elección debe ser deliberada. Acuerde un flujo permitido, un flujo que debe denegarse y el comportamiento que desea cuando falla el sensor. Mantenga la recuperación de gestión separada de la ruta inspeccionada, para que un error en el sensor no le quite también el acceso.

Después registre el tráfico visible, el punto de procesamiento y el comportamiento de aplicación. Esos tres hechos, no el paquete instalado, describen qué hace realmente el despliegue.