Snort um VPN-Rand: wou d’Pakete sichtbar sinn

Verfollegt eng eenzeg Ufro vun engem Fernlaptop a si iwwerquierd méi Grenzen, ier eppes se ka iwwerpréiwen. Den äusseren Tunnel endet am VPN-Prozess, dat bannent Pak erschéngt op enger Schnëttstell, a Sessioun HTTPS bannenan geet weider bis zur Applikatioun. En Iwwerpréiwungsgeschir gesäit nëmmen dat, wat um Punkt sichtbar ass, wou d’Pakete et erreechen. Installéiert een ouni dee Punkt ze decidéieren, an d’Logbicher beschreiwen déi falsch Schicht.

Ee Pak iwwerquierd méi Grenzen

Virun der VPN-Terminatioun gesäit den Observateur eng eenzeg äusser Verbindung, typesch zum VPN-Port, mat Adressen a Gréissten, awer ouni bannenzeg Struktur. No der Terminatioun sinn déi bannenzeg Adressen, Porten a Protokoller um Veraarbechtungspunkt verfügbar, dee se iwwergëtt. D’TLS vun der Applikatioun selwer bleift verschlësselt, ausser en separat Design terminéiert et. Dat sinn dräi Sichtbarkeetsniveauen, an den Numm vun engem Pak seet Iech net, wéien Dir kaaft hutt.

Zeechent de Wee mat de markéierte Grenzen, a setzt dann de Sensor op d’Linn, wou d’Fro beäntwert ka ginn, well d’Plaz en Deel vun der Äntwert ass. Eng Grenz, déi Dir net nenne kënnt, ass eng Grenz, déi Dir net testen kënnt.

Kuckt, wat op all Punkt liesbar ass

Iwwerpréift d’Schnëttstell an eng kuerz Opnam, ier Dir enger Beschreiwung vun der Architektur vertraut.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

D’Lëscht vun de Linken weist déi existéierend Tunnel- a physesch Schnëttstellen, an d’Opnam weist genee, wat e Sensor, dee do ugeschloss ass, géif kréien. Wa se bannenzeg Adressen weist, awer keng HTTP-Ufro-Zeilen, sidd Dir no der VPN-Terminatioun an nach ëmmer ausserhalb vum TLS vun der Applikatioun. Dat ass déi normal Plaz fir Netzwierkdetektioun an déi falsch Plaz fir Inhaltsiwwerpréiwung. Widderhëlt d’Opnam op der äusserer Schnëttstell, fir ze vergläichen, wat déi aner Grenz opdeckt.

Passiv Detektioun kann net eleng blockéieren

D’Iwwerpréiwungsdokumentatioun vu Snort trennt passiv Observatioun vum Inline-Betrib. De passive Modus kann iwwer Traffic warnen, ouni en op deem Wee ze stoppen.

snort -T -c /etc/snort/snort.lua

Den Testmodus validéiert d’Konfiguratioun, ouni de Sensor ze lafen, wat de richtege éischte Schrëtt virun all Asaz ass. Den Inline-Betrib brauch eng kompatibel Arrangement fir Paketen ze gräifen an eng passend Ëmsetzungskonfiguratioun, net nëmmen eng zousätzlech Optioun. En Logbicher-Anträäg ass dofir kee Beweis, datt eng Ufro verhënnert ginn ass, an en Prozess, dee mat enger inline-ähnlecher Optioun gestart ginn ass, beweist net, datt de richtege weidergeleet Floss duerch en geet. Confirméiert, wou d’Implementatioun d’Pakete tatsächlech iwwergëtt.

Wielt den Ëmsetzungsmodus virun dem Asaz

Entscheet, ob d’Ufuerderung Sichtbarkeet oder Verhënnerung ass, well déi zwee ënnerschiddlecht Ausfallverhalen hunn. En passive Sensor, dee stierft, léisst den Traffic fléissen an erzeugt eng Iwwerwaachungslück; en Inline-Gerät, dee stierft, kann den Traffic duerchloossen oder stoppen, an déi Wiel muss bewosst sinn. Eenegt Iech op ee erlaabte Floss, ee Floss dee muss ofgeleent ginn, an d’Verhalen, dat Dir wëllt, wann de Sensor ausfällt. Halt d’Erhuelung vun der Verwaltung getrennt vum iwwerpréiften Wee, sou datt e Feeler am Sensor net och Ären Zougang ewechhëlt.

Dann notéiert den sichtbaren Traffic, de Veraarbechtungspunkt an d’Ëmsetzungsverhalen. Déi dräi Fakten, net de installéierte Pak, beschreiwen, wat den Asaz tatsächlech mécht.