Snort à la lisière du VPN : où les paquets sont visibles

Suivez une seule requête depuis un ordinateur portable distant : elle franchit plusieurs frontières avant que quoi que ce soit puisse l’inspecter. Le tunnel extérieur se termine dans le processus VPN, le paquet intérieur apparaît sur une interface, et la session HTTPS à l’intérieur continue jusqu’à l’application. Un outil d’inspection ne voit que ce qui est visible au point où les paquets l’atteignent. Installez-en un sans décider de ce point, et les journaux décrivent la mauvaise couche.

Un paquet franchit plusieurs frontières

Avant la terminaison du VPN, l’observateur voit une connexion extérieure, généralement vers le port VPN, avec des adresses et des tailles mais sans structure interne. Après la terminaison, les adresses, ports et protocoles intérieurs sont disponibles au point de traitement qui les remet. Le TLS de l’application elle-même reste chiffré sauf si une conception séparée le termine. Ce sont trois niveaux de visibilité, et le nom d’un paquet ne vous dit pas lequel vous avez acheté.

Dessinez le chemin avec les frontières marquées, puis placez le capteur sur la ligne où la question peut être répondue, car l’emplacement fait partie de la réponse. Une frontière que vous ne pouvez pas nommer est une frontière que vous ne pouvez pas tester.

Voyez ce qui est lisible à chaque point

Vérifiez l’interface et une courte capture avant de faire confiance à n’importe quelle description de l’architecture.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

La liste des liens montre les tunnels et les interfaces physiques existants, et la capture montre exactement ce qu’un capteur attaché là recevrait. Si elle montre des adresses intérieures mais aucune ligne de requête HTTP, vous êtes après la terminaison du VPN et toujours en dehors du TLS de l’application. C’est l’endroit normal pour la détection réseau et le mauvais endroit pour l’inspection du contenu. Répétez la capture sur l’interface extérieure pour comparer ce que l’autre frontière expose.

La détection passive ne peut pas bloquer à elle seule

La documentation d’inspection de Snort sépare l’observation passive de l’opération en ligne. Le mode passif peut alerter sur le trafic sans l’arrêter sur ce chemin.

snort -T -c /etc/snort/snort.lua

Le mode test valide la configuration sans exécuter le capteur, ce qui est la bonne première étape avant tout déploiement. L’opération en ligne nécessite un dispositif compatible d’acquisition de paquets et une configuration d’application correspondante, pas seulement une option supplémentaire. Une entrée de journal n’est donc pas la preuve qu’une requête a été empêchée, et un processus démarré avec une option qui ressemble à l’en ligne ne prouve pas que le flux réellement transmis le traverse. Confirmez où l’implémentation remet réellement les paquets.

Choisissez le mode d’application avant de déployer

Décidez si l’exigence est la visibilité ou la prévention, car les deux ont un comportement de défaillance différent. Un capteur passif qui tombe en panne laisse le trafic circuler et crée un trou de surveillance ; un dispositif en ligne qui tombe en panne peut soit laisser passer le trafic, soit l’arrêter, et ce choix doit être délibéré. Convenez d’un flux autorisé, d’un flux qui doit être refusé, et du comportement souhaité lorsque le capteur échoue. Gardez la récupération de gestion séparée du chemin inspecté, pour qu’une erreur du capteur ne supprime pas aussi votre accès.

Enregistrez ensuite le trafic visible, le point de traitement et le comportement d’application. Ces trois faits, et non le paquet installé, décrivent ce que le déploiement fait réellement.