Snort-ը VPN-ի եզրին. որտեղ փաթեթները տեսանելի են

Հետևեք մեկ հարցում հեռավոր նոթբուքից, և այն անցնում է մի քանի սահմաններով, նախքան որևէ բան կկարողանա ստուգել այն։ Արտաքին թունելն ավարտվում է VPN գործընթացում, ներքին փաթեթը հայտնվում է ինտերֆեյսի վրա, և ներսի HTTPS սեսիան շարունակվում է մինչև հավելվածը։ Ստուգման գործիքը տեսնում է միայն այն, ինչ տեսանելի է այն կետում, որտեղ փաթեթները հասնում են նրան։ Տեղադրեք մեկը՝ չորոշելով այդ կետը, և մատյանները կնկարագրեն սխալ շերտը։

Մեկ փաթեթը հատում է մի քանի սահմաններ

Մինչև VPN-ի ավարտը դիտորդը տեսնում է մեկ արտաքին միացում, սովորաբար դեպի VPN պորտ, հասցեներով և չափերով, բայց առանց ներքին կառուցվածքի։ Ավարտից հետո ներքին հասցեները, պորտերը և արձանագրությունները հասանելի են այն մշակման կետում, որը հանձնում է դրանք։ Հավելվածի սեփական TLS-ը մնում է գաղտնագրված, եթե առանձին նախագիծ այն չավարտի։ Դրանք տեսանելիության երեք մակարդակներ են, և փաթեթի անունը չի ասում, թե որն եք գնել։

Նկարեք ուղին սահմանները նշված, ապա տեղադրեք սենսորը այն գծի վրա, որտեղ կարելի է պատասխանել հարցին, որովհետև տեղը պատասխանի մասն է։ Սահմանը, որը չեք կարող անվանել, այն սահմանն է, որը չեք կարող փորձարկել։

Տեսեք, թե ինչ է ընթեռնելի յուրաքանչյուր կետում

Ստուգեք ինտերֆեյսը և կարճ ձայնագրություն, նախքան ճարտարապետության ցանկացած նկարագրության վստահելը։

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Հղումների ցանկը ցույց է տալիս առկա թունելներն ու ֆիզիկական ինտերֆեյսները, և ձայնագրությունը ցույց է տալիս ճիշտ այն, ինչ կստանար այնտեղ միացված սենսորը։ Եթե այն ցույց է տալիս ներքին հասցեներ, բայց ոչ HTTP հարցման տողեր, դուք VPN-ի ավարտից հետո եք և դեռ հավելվածի TLS-ից դուրս։ Դա ցանցի հայտնաբերման սովորական տեղն է և բովանդակության ստուգման սխալ տեղը։ Կրկնեք ձայնագրությունը արտաքին ինտերֆեյսի վրա՝ համեմատելու, թե ինչ է բացահայտում մյուս սահմանը։

Պասիվ հայտնաբերումը ինքնուրույն չի կարող արգելափակել

Snort-ի ստուգման փաստաթղթերը առանձնացնում են պասիվ դիտարկումը ներգծային աշխատանքից։ Պասիվ ռեժիմը կարող է ծանուցել երթևեկության մասին՝ առանց այն այդ ուղու վրա կանգնեցնելու։

snort -T -c /etc/snort/snort.lua

Փորձարկման ռեժիմը վավերացնում է կոնֆիգուրացիան՝ առանց սենսորը գործարկելու, ինչը ճիշտ առաջին քայլն է ցանկացած տեղակայումից առաջ։ Ներգծային աշխատանքը պահանջում է փաթեթների գրավման համատեղելի կառուցվածք և համապատասխան կիրառման կոնֆիգուրացիա, ոչ միայն լրացուցիչ դրոշ։ Ուստի մատյանի գրառումը ապացույց չէ, որ հարցումը կանխվել է, և ներգծային տեսք ունեցող տարբերակով գործարկված գործընթացը չի ապացուցում, որ իրական փոխանցված հոսքը անցնում է դրա միջով։ Հաստատեք, թե որտեղ է իրականացումը փաստացի հանձնում փաթեթները։

Ընտրեք կիրառման ռեժիմը տեղակայումից առաջ

Որոշեք՝ պահանջը տեսանելիություն է, թե կանխարգելում, որովհետև երկուսն ունեն տարբեր ձախողման վարք։ Մահացող պասիվ սենսորը թողնում է երթևեկությունը հոսել և ստեղծում է մոնիտորինգի բացվածք՝ մահացող ներգծային սարքը կարող է բաց թողնել երթևեկությունը կամ կանգնեցնել այն, և այդ ընտրությունը պետք է միտումնավոր լինի։ Համաձայնեք մեկ թույլատրված հոսքի, մեկ հոսքի, որը պետք է մերժվի, և այն վարքի շուրջ, որը ցանկանում եք, երբ սենսորը ձախողվի։ Կառավարման վերականգնումը առանձին պահեք ստուգվող ուղուց, որպեսզի սենսորի սխալը չհեռացնի նաև ձեր հասանելիությունը։

Այնուհետև գրանցեք տեսանելի երթևեկությունը, մշակման կետը և կիրառման վարքը։ Այդ երեք փաստերը, ոչ թե տեղադրված փաթեթը, նկարագրում են, թե ինչ է իրականում անում տեղակայումը։