Snort við VPN-brúnina: þar sem pakkarnir sjást

Fylgdu einni beiðni frá fjartölvu og hún fer yfir nokkur mörk áður en nokkuð getur skoðað hana. Ytri göngin enda í VPN-ferlinu, innri pakkinn birtist á tengi og HTTPS-lotan inni heldur áfram til forritsins. Skoðunartól sér aðeins það sem er sýnilegt á þeim punkti þar sem pakkarnir ná til þess. Settu upp eitt án þess að ákveða þann punkt, og annálarnir lýsa röngu lagi.

Einn pakki fer yfir nokkur mörk

Fyrir lok VPN sér athugandinn eina ytri tengingu, venjulega við VPN-gátt, með vistföngum og stærðum en án innri uppbyggingar. Eftir lokin eru innri vistföngin, gáttirnar og samskiptareglurnar aðgengileg á þeim vinnslupunkti sem afhendir þau. Eigið TLS forritsins helst dulkóðað nema sérstök hönnun ljúki því. Þetta eru þrjú sýnileikastig, og nafn pakka segir þér ekki hvaða þú keyptir.

Teiknaðu slóðina með mörkunum merktum og settu skynjarann síðan á línuna þar sem hægt er að svara spurningunni, því staðsetningin er hluti af svarinu. Mörk sem þú getur ekki nefnt eru mörk sem þú getur ekki prófað.

Sjáðu hvað er læsilegt á hverjum punkti

Athugaðu tengið og stutta upptöku áður en þú treystir hvaða lýsingu sem er á arkitektúrnum.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Tengilistinn sýnir göngin og líkamlegu tengin sem fyrir eru, og upptakan sýnir nákvæmlega hvað skynjari sem tengdur er þar myndi fá. Ef hún sýnir innri vistföng en engar HTTP-beiðnilínur ertu eftir lok VPN og enn fyrir utan TLS forritsins. Það er venjulegur staður fyrir netgreiningu og rangur staður fyrir efniskoðun. Endurtaktu upptökuna á ytra tenginu til að bera saman hvað hin mörkin afhjúpa.

Óvirk greining getur ekki blokkað eitt og sér

Skoðunarskjöl Snort aðskilja óvirkar athuganir frá vinnslu í beinni línu. Óvirkt ham getur varað við umferð án þess að stöðva hana á þeirri slóð.

snort -T -c /etc/snort/snort.lua

Prófunarhamur staðfestir stillinguna án þess að keyra skynjarann, sem er rétta fyrsta skrefið fyrir hverja uppsetningu. Vinna í beinni línu krefst samhæfðs fyrirkomulags við að ná pökkum og samsvarandi stillingar fyrir framkvæmd, ekki bara aukaflöggs. Þess vegna er annálsfærsla ekki sönnun þess að beiðni hafi verið komið í veg fyrir, og ferli sem ræst er með valkosti sem lítur út eins og í beinni línu sannar ekki að raunverulega áframsenda flæðið fari í gegnum það. Staðfestu hvar útfærslan afhendir pökkunum í raun.

Veldu framkvæmdarhaminn fyrir uppsetningu

Ákveddu hvort krafan er sýnileiki eða forvörn, því þau bera mismunandi hegðun við bilun. Óvirkur skynjari sem deyr lætur umferðina streyma og skapar eyðu í vöktun; tæki í beinni línu sem deyr getur annaðhvort hleypt umferðinni í gegn eða stöðvað hana, og sú ákvörðun verður að vera viljandi. Sammælstu um eitt leyfilegt flæði, eitt flæði sem verður að hafna og hegðunina sem þú vilt þegar skynjarinn bilar. Haltu endurheimt stjórnunar aðskilinni frá skoðuðu slóðinni, svo mistök í skynjaranum fjarlægi ekki líka aðgang þinn.

Skráðu síðan sýnilegu umferðina, vinnslupunktinn og framkvæmdarhegðunina. Þessar þrjár staðreyndir, ekki uppsetti pakkinn, lýsa því hvað uppsetningin gerir í raun.