Snort VPN-ის კიდეზე: სად ჩანს პაკეტები

მიჰყევით ერთ მოთხოვნას დისტანციური ლეპტოპიდან და ის გადაკვეთს რამდენიმე საზღვარს, სანამ რაიმე შეძლებს მის შემოწმებას. გარე გვირაბი მთავრდება VPN პროცესში, შიდა პაკეტი ჩნდება ინტერფეისზე, და შიგნით არსებული HTTPS სესია გრძელდება აპლიკაციამდე. შემოწმების ხელსაწყო ხედავს მხოლოდ იმას, რაც ჩანს იმ წერტილში, სადაც პაკეტები აღწევს მას. დააინსტალირეთ ერთი ამ წერტილის განსაზღვრის გარეშე და ჟურნალები აღწერს არასწორ შრეს.

ერთი პაკეტი გადაკვეთს რამდენიმე საზღვარს

VPN-ის დასრულებამდე დამკვირვებელი ხედავს ერთ გარე კავშირს, ჩვეულებრივ VPN პორტისკენ, მისამართებით და ზომებით, მაგრამ შიდა სტრუქტურის გარეშე. დასრულების შემდეგ შიდა მისამართები, პორტები და პროტოკოლები ხელმისაწვდომია იმ დამუშავების წერტილში, რომელიც გადასცემს მათ. აპლიკაციის საკუთარი TLS რჩება დაშიფრული, თუ ცალკე დიზაინი არ დაასრულებს მას. ეს არის ხილვადობის სამი დონე და პაკეტის სახელი არ გეუბნებათ, რომელი იყიდეთ.

დახაზეთ გზა საზღვრებით მონიშნული, შემდეგ მოათავსეთ სენსორი იმ ხაზზე, სადაც კითხვას პასუხი შეიძლება გაეცეს, რადგან მდებარეობა პასუხის ნაწილია. საზღვარი, რომელსაც ვერ დაასახელებთ, არის საზღვარი, რომელსაც ვერ შეამოწმებთ.

ნახეთ, რა იკითხება თითოეულ წერტილში

შეამოწმეთ ინტერფეისი და მოკლე ჩანაწერი, სანამ არქიტექტურის ნებისმიერ აღწერას ენდობით.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

ბმულების სია აჩვენებს არსებული გვირაბები და ფიზიკური ინტერფეისები, და ჩანაწერი აჩვენებს ზუსტად იმას, რასაც მიიღებდა იქ დაკავშირებული სენსორი. თუ ის აჩვენებს შიდა მისამართებს, მაგრამ არა HTTP მოთხოვნის სტრიქონებს, თქვენ ხართ VPN-ის დასრულების შემდეგ და ჯერ კიდევ აპლიკაციის TLS-ის გარეთ. ეს არის ჩვეულებრივი ადგილი ქსელის აღმოჩენისთვის და არასწორი ადგილი შიგთავსის შემოწმებისთვის. გაიმეორეთ ჩანაწერი გარე ინტერფეისზე, რომ შეადაროთ, რას ამხელს მეორე საზღვარი.

პასიური აღმოჩენა დამოუკიდებლად ვერ დაბლოკავს

Snort-ის შემოწმების დოკუმენტაცია გამოყოფს პასიურ დაკვირვებას ხაზში მუშაობისგან. პასიურ რეჟიმს შეუძლია გაფრთხილება მოგცეს ტრაფიკზე მისი ამ გზაზე შეჩერების გარეშე.

snort -T -c /etc/snort/snort.lua

ტესტის რეჟიმი ამოწმებს კონფიგურაციას სენსორის გაშვების გარეშე, რაც სწორი პირველი ნაბიჯია ნებისმიერ განლაგებამდე. ხაზში მუშაობას სჭირდება თავსებადი პაკეტების აღების მოწყობა და შესაბამისი აღსრულების კონფიგურაცია, და არა მხოლოდ დამატებითი დროშა. ამიტომ ჟურნალის ჩანაწერი არ არის მტკიცებულება, რომ მოთხოვნა შეჩერდა, და ხაზშიდა იერის ოფციით გაშვებული პროცესი არ ამტკიცებს, რომ ნამდვილი გადამისამართებული ნაკადი გადის მასში. დაადასტურეთ, სად გადასცემს იმპლემენტაცია პაკეტებს სინამდვილეში.

აირჩიეთ აღსრულების რეჟიმი განლაგებამდე

გადაწყვიტეთ, მოთხოვნა ხილვადობაა თუ პრევენცია, რადგან ორივეს განსხვავებული მარცხის ქცევა აქვს. მკვდარი პასიური სენსორი ტოვებს ტრაფიკს დინებაში და ქმნის მონიტორინგის ხარვეზს; მკვდარ ხაზშიდა მოწყობილობას შეუძლია გაატაროს ტრაფიკი ან შეაჩეროს ის, და ეს არჩევანი განზრახ უნდა იყოს. შეთანხმდით ერთ დაშვებულ ნაკადზე, ერთ ნაკადზე, რომელიც უნდა უარყოფილ იქნას, და ქცევაზე, რომელიც გსურთ სენსორის მარცხისას. შეინახეთ მართვის აღდგენა გამოყოფილი შემოწმებული გზისგან, რომ სენსორში შეცდომამ თქვენი წვდომაც არ წაიღოს.

შემდეგ ჩაწერეთ ხილული ტრაფიკი, დამუშავების წერტილი და აღსრულების ქცევა. ეს სამი ფაქტი, და არა დაყენებული პაკეტი, აღწერს, რას აკეთებს განლაგება სინამდვილეში.