Snort by de VPN-râne: wêr’t de pakketten sichtber binne

Folgje ien fersyk fan in ôfstân laptop en it krúst ferskate grinzen foardat eat it ynspetsjearje kin. De bûtenste tunnel einiget by it VPN-proses, it binnenste pakket ferskynt op in ynterface, en de HTTPS-sesje binnen giet troch nei de applikaasje. In ynspesjearmiddel sjocht allinnich wat sichtber is op it punt dêr’t pakketten it berikke. Ynstallearje ien sûnder dat punt te bepalen, en de logs beskriuwe de ferkearde laach.

Ien pakket krúst ferskate grinzen

Foar de VPN-beëiniging sjocht de waarnimmer ien bûtenste ferbining, meastentiids nei de VPN-poarte, mei adressen en grutten mar sûnder binnenstruktuer. Nei de beëiniging binne de binnenste adressen, poarten en protokollen beskikber op dat ferwurkingspunt dat se oerdraacht. De eigen TLS fan de applikaasje bliuwt fersifere, útsein as in apart ûntwerp it beëiniget. Dat binne trije sichtberensnivo’s, en in pakketnamme fertelt jo net hokker ien jo kocht hawwe.

Tekenje it paad mei de grinzen markearre, en pleatse dan de sensor op de line dêr’t de fraach beantwurde wurde kin, want de lokaasje is diel fan it antwurd. In grins dy’t jo net beneame kinne, is in grins dy’t jo net testje kinne.

Sjoch wat op elk punt lêsber is

Kontrolearje de ynterface en in koarte opname foardat jo in beskriuwing fan de arsjitektuer fertrouwe.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

De keppelingslist lit de tunnel- en fysike ynterfaces dy’t besteane sjen, en de opname lit krekt sjen wat in sensor dy’t dêr oansletten is, ûntfange soe. As it binnenste adressen sjen lit mar gjin HTTP-fersyklinnen, binne jo nei de VPN-beëiniging en noch bûten de TLS fan de applikaasje. Dat is it normale plak foar netwurkopspoaring en it ferkearde plak foar ynhâldsynspeksje. Werhelje de opname op de bûtenste ynterface om te fergelykjen wat de oare grins blootleit.

Passive opspoaring kin net op eigen krêft blokkearje

De ynspesjedokumintaasje fan Snort skiedt passive waarnimming fan inline-operaasje. Passive modus kin warskôgje oer ferkear sûnder it op dat paad te stopjen.

snort -T -c /etc/snort/snort.lua

Testmodus falidearret de konfiguraasje sûnder de sensor te draaien, wat de juste earste stap is foar elke ynset. Inline-operaasje freget in kompatibele regeling foar pakketopname en in bypassende hanthaveningskonfiguraasje, net allinnich in ekstra flagge. In logynfier is dêrom gjin bewiis dat in fersyk foarkommen is, en in proses dat start is mei in inline-lykje opsje bewiist net dat de echte trochstjoerde stream der trochhinne giet. Befêstigje wêr’t de ymplemintaasje de pakketten eins oerdraacht.

Kies de hanthaveningsmodus foardat jo ynsette

Beslis oft de eask sichtberens of foarkoming is, want de beide hawwe oar falgedrach. In passive sensor dy’t útvalt lit ferkear trochgean en makket in monitoringsgat; in inline-apparaat dat útvalt kin ferkear trochlitte of stopje, en dy kar moat bewust wêze. Kom oerien oer ien tastiene stream, ien stream dy’t wegere wurde moat, en it gedrach dat jo wolle as de sensor falt. Hâld behearherstel apart fan it ynspektearre paad, sadat in flater yn de sensor ek jo tagong net weinimt.

Registrearje dan it sichtbere ferkear, it ferwurkingspunt en it hanthaveningsgedrach. Dy trije feiten, net it ynstallearre pakket, beskriuwe wat de ynset eins docht.