Snort VPN-i servas: kus paketid on nähtavad

Jälgige üht päringut kaugemast sülearvutist ja see läbib mitu piiri, enne kui miski saab seda kontrollida. Välimine tunnel lõpeb VPN-protsessis, sisemine pakett ilmub liidesele ja seesmine HTTPS-seanss jätkub rakenduseni. Kontrollivahend näeb ainult seda, mis on nähtav punktis, kuhu paketid selleni jõuavad. Paigaldage see ilma seda punkti otsustamata ja logid kirjeldavad vale kihti.

Üks pakett läbib mitu piiri

Enne VPN-i lõpetamist näeb vaatleja üht välist ühendust, tavaliselt VPN-pordi poole, aadresside ja suurustega, kuid ilma sisemise struktuurita. Pärast lõpetamist on sisemised aadressid, pordid ja protokollid saadaval selles töötlemispunktis, mis need üle annab. Rakenduse enda TLS jääb krüpteerituks, kui eraldi lahendus seda ei lõpeta. Need on kolm nähtavustasandit ja paketi nimi ei ütle teile, millise te ostsite.

Joonistage tee, kus piirid on märgitud, seejärel asetage andur joonele, kus küsimusele saab vastata, sest asukoht on osa vastusest. Piir, mida te ei suuda nimetada, on piir, mida te ei suuda testida.

Vaadake, mis on igas punktis loetav

Kontrollige liidest ja lühikest salvestust, enne kui usaldate ühtegi arhitektuuri kirjeldust.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Lingiloend näitab olemasolevaid tunneleid ja füüsilisi liideseid, ja salvestus näitab täpselt, mida seal ühendatud andur vastu võtaks. Kui see näitab sisemisi aadresse, kuid mitte HTTP-päringu ridu, olete pärast VPN-i lõpetamist ja endiselt väljaspool rakenduse TLS-i. See on tavaline koht võrgu tuvastamiseks ja vale koht sisu kontrollimiseks. Korrake salvestust välisliidesel, et võrrelda, mida teine piir paljastab.

Passiivne tuvastus ei saa üksi blokeerida

Snorti kontrollidokumentatsioon eristab passiivset vaatlust reasisestest toimingutest. Passiivne režiim saab liiklusest hoiatada ilma seda sellel teel peatamata.

snort -T -c /etc/snort/snort.lua

Testrežiim valideerib konfiguratsiooni andurit käivitamata, mis on õige esimene samm enne mis tahes juurutamist. Reasisene toimimine nõuab ühilduvat pakettide hõivamise lahendust ja vastavat jõustamiskonfiguratsiooni, mitte lihtsalt lisalippu. Seega ei ole logikirje tõestus, et päring takistati, ja reasisesele sarnase valikuga käivitatud protsess ei tõesta, et tegelik edastatud voog läbib seda. Kinnitage, kus juurutus paketid tegelikult üle annab.

Valige jõustamisrežiim enne juurutamist

Otsustage, kas nõue on nähtavus või takistamine, sest neil on erinev tõrkekäitumine. Passiivne andur, mis sureb, jätab liikluse voolama ja tekitab jälgimislünga; reasisene seade, mis sureb, võib liikluse läbi lasta või selle peatada, ja see valik peab olema teadlik. Leppige kokku üks lubatud voog, üks voog, mis tuleb tagasi lükata, ja käitumine, mida soovite anduri tõrke korral. Hoidke halduse taastamine kontrollitavast teest eraldi, et anduri viga ei eemaldaks ka teie juurdepääsu.

Seejärel registreerige nähtav liiklus, töötlemispunkt ja jõustamiskäitumine. Need kolm fakti, mitte paigaldatud pakett, kirjeldavad, mida juurutus tegelikult teeb.