Snort no bordo da VPN: onde son visibles os paquetes

Siga unha soa solicitude desde un portátil remoto e atravesa varias fronteiras antes de que algo poida inspeccionala. O túnel exterior termina no proceso de VPN, o paquete interior aparece nunha interface e a sesión HTTPS interior continúa ata a aplicación. Unha ferramenta de inspección só ve o que é visible no punto onde lle chegan os paquetes. Instale unha sen decidir ese punto e os rexistros describirán a capa equivocada.

Un paquete atravesa varias fronteiras

Antes da terminación da VPN o observador ve unha conexión exterior, normalmente cara ao porto da VPN, con enderezos e tamaños pero sen estrutura interior. Despois da terminación, os enderezos, os portos e os protocolos interiores están dispoñibles en calquera punto de procesamento que os entregue. O TLS da propia aplicación segue cifrado a menos que un deseño separado o termine. Eses son tres niveis de visibilidade, e o nome dun paquete non lle di cal comprou.

Debuxe a ruta coas fronteiras marcadas e despois coloque o sensor na liña onde se pode responder a pregunta, porque a localización forma parte da resposta. Unha fronteira que non pode nomear é unha fronteira que non pode probar.

Vexa que é lexible en cada punto

Comprobe a interface e unha captura breve antes de confiar en calquera descrición da arquitectura.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

A lista de ligazóns mostra os túneles e as interfaces físicas existentes, e a captura mostra exactamente que recibiría un sensor conectado alí. Se mostra enderezos interiores pero ningunha liña de solicitude HTTP, está despois da terminación da VPN e aínda fóra do TLS da aplicación. Ese é o lugar normal para a detección de rede e o lugar equivocado para a inspección do contido. Repita a captura na interface exterior para comparar que expón a outra fronteira.

A detección pasiva non pode bloquear por si soa

A documentación de inspección de Snort separa a observación pasiva da operación en liña. O modo pasivo pode alertar sobre o tráfico sen detelo nesa ruta.

snort -T -c /etc/snort/snort.lua

O modo de proba valida a configuración sen executar o sensor, que é o primeiro paso correcto antes de calquera despregamento. A operación en liña necesita un acordo compatible de adquisición de paquetes e unha configuración de aplicación correspondente, non só unha opción adicional. Por tanto, unha entrada de rexistro non é proba de que se impedise unha solicitude, e un proceso iniciado cunha opción que parece en liña non demostra que o fluxo reenviado real pase por el. Confirme onde entrega realmente os paquetes a implementación.

Escolla o modo de aplicación antes de despregar

Decida se o requisito é visibilidade ou prevención, porque ambos levan un comportamento de fallo distinto. Un sensor pasivo que morre deixa o tráfico fluíndo e produce un baleiro de monitorización; un dispositivo en liña que morre pode deixar pasar o tráfico ou detelo, e esa elección debe ser deliberada. Acorde un fluxo permitido, un fluxo que debe denegarse e o comportamento que desexa cando falla o sensor. Manteña a recuperación de xestión separada da ruta inspeccionada, para que un erro no sensor non lle quite tamén o acceso.

Despois rexistre o tráfico visible, o punto de procesamento e o comportamento de aplicación. Eses tres feitos, non o paquete instalado, describen que fai realmente o despregamento.