VPN четиндеги Snort: пакеттер кайда көрүнөт

Алыскы ноутбуктан бир сурамды ээрчиңиз жана ал бир нерсе аны текшере алышы үчүн бир нече чек арадан өтөт. Сырткы туннель VPN процессинде бүтөт, ички пакет интерфейсте пайда болот, ал эми ичиндеги HTTPS сессиясы колдонмого чейин уланат. Текшерүү куралы пакеттер жеткен чекитте көрүнгөн нерсени гана көрөт. Ошол чекитти аныктабай орнотуңуз, жана журналдар туура эмес катмарды сүрөттөйт.

Бир пакет бир нече чек арадан өтөт

VPN бүткөнгө чейин байкоочу бир сырткы туташууну көрөт, адатта VPN портуна, даректер жана өлчөмдөр менен, бирок ички түзүлүшсүз. Бүткөндөн кийин ички даректер, порттор жана протоколдор аларды өткөрүп берген иштетүү чекитинде жеткиликтүү. Колдонмонун өзүнүн TLS бөлөк долбоор аны бүтүрбөсө, шифрленген бойдон калат. Бул көрүнүүнүн үч деңгээли, жана пакеттин аты кайсынысын сатып алганыңызды айтпайт.

Жолду чек араларды белгилеп тартыңыз, анан сенсорду суроого жооп берүүгө боло турган сызыкка коюңуз, анткени жайгашуу жооптун бөлүгү. Атай албаган чек ара — текшере албаган чек ара.

Ар бир чекитте эмне окулаарын көрүңүз

Архитектуранын кандайдыр бир сүрөттөмөсүнө ишенүүдөн мурун интерфейсти жана кыска жазууну текшериңиз.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Шилтемелер тизмеси бар туннелдер жана физикалык интерфейстер көрсөтөт, ал эми жазуу ошол жерде туташкан сенсор так эмнени алаарын көрсөтөт. Эгер ал ички даректерди көрсөтүп, бирок HTTP сурам саптарын көрсөтпөсө, сиз VPN бүткөндөн кийинсиз жана дагы колдонмонун TLSинин сыртында. Бул тармакты аныктоо үчүн кадимки жай жана мазмунду текшерүү үчүн туура эмес жай. Башка чек ара эмнени ачканын салыштыруу үчүн жазууну сырткы интерфейсте кайталаңыз.

Пассивдүү аныктоо өз алдынча бөгөттөй албайт

Snortтун текшерүү документтери пассивдүү байкоону сызык ичиндеги иштөөдөн ажыратат. Пассивдүү режим трафикти ошол жолдо токтотпосун эскерте алады.

snort -T -c /etc/snort/snort.lua

Сыноо режими сенсорду иштетпей конфигурацияны текшерет, бул кандайдыр бир жайгаштыруудан мурун туура биринчи кадам. Сызык ичиндеги иштөө пакеттерди алуунун шайкеш түзүлүшүн жана тиешелүү аткаруу конфигурациясын талап кылат, жөн гана кошумча желекче эмес. Ошондуктан журнал жазуусу сурамдын алды алынгандыгынын далили эмес, жана сызык ичиндегиге окшош параметр менен башталган процесс чыныгы жөнөтүлгөн агым андан өтөрүн далилдебейт. Ишке ашыруу пакеттерди чындыгында кайда өткөрүп берерин ырастаңыз.

Жайгаштыруудан мурун аткаруу режимин тандаңыз

Талап көрүнүүбү же алдын алуубу экенин чечиңиз, анткени экөөнүн ишке жарамсыздыктагы жүрүм-туруму башка. Өлгөн пассивдүү сенсор трафикти агызууга калтырат жана мониторинг оюгун жаратат; өлгөн сызык ичиндеги түзмөк трафикти өткөрүшү же токтотушу мүмкүн, жана бул тандоо атайын болушу керек. Бир уруксат берилген агым, бир баш тартылуучу агым жана сенсор иштен кеткенде каалаган жүрүм-турум боюнча макулдашыңыз. Башкарууну калыбына келтирүүнү текшерилүүчү жолдон өзүнчө кармаңыз, сенсордогу ката сиздин кирүү мүмкүнчүлүгүңүздү да алып кетпеши үчүн.

Анан көрүнүп турган трафикти, иштетүү чекитин жана аткаруу жүрүм-турумун жазыңыз. Орнотулган пакет эмес, бул үч факт жайгаштыруу чындыгында эмне кылаарын сүрөттөйт.