VPN шетіндегі Snort: пакеттер қай жерде көрінеді

Қашықтағы ноутбуктен бір сұранысты бақылаңыз және ол бірдеңе оны тексере алуы үшін бірнеше шекарадан өтеді. Сыртқы туннель VPN процесінде аяқталады, ішкі пакет интерфейсте пайда болады, ал ішіндегі HTTPS сессиясы қолданбаға дейін жалғасады. Тексеру құралы пакеттер оған жететін нүктеде көрінетін нәрсені ғана көреді. Сол нүктені анықтамай орнатыңыз, және журналдар қате қабатты сипаттайды.

Бір пакет бірнеше шекарадан өтеді

VPN аяқталғанға дейін бақылаушы бір сыртқы қосылымды көреді, әдетте VPN портына, мекенжайлар мен өлшемдермен, бірақ ішкі құрылымсыз. Аяқталғаннан кейін ішкі мекенжайлар, порттар мен протоколдар оларды тапсыратын өңдеу нүктесінде қолжетімді. Қолданбаның өз TLS-і жеке дизайн оны аяқтамаса, шифрланған күйде қалады. Бұл көрінудің үш деңгейі, және пакет атауы қайсысын сатып алғаныңызды айтпайды.

Жолды шекараларды белгілеп сызыңыз, содан кейін сенсорды сұраққа жауап беруге болатын сызыққа қойыңыз, өйткені орын жауаптың бөлігі. Атай алмайтын шекара — сынай алмайтын шекара.

Әр нүктеде не оқылатынын көріңіз

Архитектураның кез келген сипаттамасына сенбес бұрын интерфейсті және қысқа жазбаны тексеріңіз.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Сілтемелер тізімі бар туннельдер мен физикалық интерфейстер көрсетеді, ал жазба сол жерде қосылған сенсордың дәл не алатынын көрсетеді. Егер ол ішкі мекенжайларды көрсетіп, бірақ HTTP сұраныс жолдарын көрсетпесе, сіз VPN аяқталғаннан кейінсіз және әлі қолданбаның TLS-інен тыс. Бұл желіні анықтауға арналған қалыпты орын және мазмұнды тексеруге арналған қате орын. Басқа шекара нені ашатынын салыстыру үшін жазбаны сыртқы интерфейсте қайталаңыз.

Пассивті анықтау өздігінен блоктай алмайды

Snort-тың тексеру құжаттамасы пассивті бақылауды желі ішіндегі жұмыстан бөледі. Пассивті режим трафикті сол жолда тоқтатпай ескерте алады.

snort -T -c /etc/snort/snort.lua

Тест режимі сенсорды іске қоспай конфигурацияны тексереді, бұл кез келген орналастыру алдындағы дұрыс бірінші қадам. Желі ішіндегі жұмыс үшін пакеттерді алудың үйлесімді құрылымы және сәйкес орындау конфигурациясы қажет, тек қосымша жалауша емес. Сондықтан журнал жазбасы сұраныстың болдырылмағанының дәлелі емес, және желі ішіндегіге ұқсайтын опциямен іске қосылған процесс нақты жіберілген ағынның ол арқылы өтетінін дәлелдемейді. Іске асыру пакеттерді шын мәнінде қайда тапсыратынын растаңыз.

Орналастыру алдында орындау режимін таңдаңыз

Талап көріну ме, алдын алу ма екенін шешіңіз, өйткені екеуінің ақаулық кезіндегі мінез-құлқы бөлек. Өлген пассивті сенсор трафикті ағуға қалдырады және бақылау олқылығын жасайды; өлген желі ішіндегі құрылғы трафикті өткізуі немесе тоқтатуы мүмкін, және бұл таңдау әдейі болуы керек. Бір рұқсат етілген ағын, бір бас тартылуы тиіс ағын және сенсор істен шыққанда қалаған мінез-құлық туралы келісіңіз. Басқаруды қалпына келтіруді тексерілетін жолдан бөлек ұстаңыз, сонда сенсордағы қате сіздің кіру мүмкіндігіңізді де алып қоймайды.

Содан кейін көрінетін трафикті, өңдеу нүктесін және орындау мінез-құлқын жазыңыз. Орнатылған пакет емес, осы үш факт орналастырудың шын мәнінде не істейтінін сипаттайды.