Snort на работ на VPN: каде пакетите се видливи

Следете едно барање од далечински преносен сметач и тоа поминува низ неколку граници пред нешто да може да го провери. Надворешниот тунел завршува во процесот на VPN, внатрешниот пакет се појавува на интерфејс, а сесијата HTTPS внатре продолжува до апликацијата. Алатката за проверка гледа само она што е видливо во точката каде пакетите ја достигнуваат. Инсталирајте ја без да ја одредите таа точка, и дневниците ќе го опишат погрешниот слој.

Еден пакет поминува низ неколку граници

Пред завршувањето на VPN набљудувачот гледа една надворешна врска, обично кон портата на VPN, со адреси и големини, но без внатрешна структура. По завршувањето внатрешните адреси, порти и протоколи се достапни во онаа точка на обработка што ги предава. Сопствениот TLS на апликацијата останува шифриран, освен ако одделен дизајн не го заврши. Тоа се три нивоа на видливост, а името на пакетот не ви кажува кое го купивте.

Нацртајте ја патеката со означени граници, потоа поставете го сензорот на линијата каде што може да се одговори на прашањето, зашто местоположбата е дел од одговорот. Граница што не можете да ја именувате е граница што не можете да ја тестирате.

Погледнете што е читливо во секоја точка

Проверете го интерфејсот и краток запис пред да верувате на какво било опис на архитектурата.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Списокот на врски покажува постојните тунели и физички интерфејси, а записот покажува точно што би примил сензор поврзан таму. Ако покажува внатрешни адреси, но не и редови на барања HTTP, вие сте по завршувањето на VPN и сѐ уште надвор од TLS на апликацијата. Тоа е вообичаеното место за мрежно откривање и погрешното место за проверка на содржината. Повторете го записот на надворешниот интерфејс за да споредите што открива другата граница.

Пасивното откривање не може само да блокира

Документацијата на Snort за проверка го одвојува пасивното набљудување од работата во линија. Пасивниот режим може да предупреди за сообраќајот без да го запре на таа патека.

snort -T -c /etc/snort/snort.lua

Режимот за тестирање ја валидира конфигурацијата без да го стартува сензорот, што е правилниот прв чекор пред секое распоредување. Работата во линија бара компатибилно уредување за зафаќање пакети и соодветна конфигурација за спроведување, не само дополнително знаменце. Затоа записот во дневникот не е доказ дека барањето е спречено, а процесот стартуван со опција што изгледа како работа во линија не докажува дека вистинскиот предаден тек поминува низ него. Потврдете каде имплементацијата всушност ги предава пакетите.

Изберете го режимот на спроведување пред распоредување

Одлучете дали барањето е видливост или спречување, зашто двете имаат различно однесување при отказ. Пасивен сензор што откажува го остава сообраќајот да тече и создава празнина во надзорот; уред во линија што откажува може да го пропушти сообраќајот или да го запре, и тој избор мора да биде намерен. Договорете се за еден дозволен тек, еден тек што мора да се одбие и однесувањето што го сакате кога сензорот ќе откаже. Држете го закрепнувањето на управувањето одделно од проверената патека, за да не ви го одземе пристапот и грешка во сензорот.

Потоа запишете го видливиот сообраќај, точката на обработка и однесувањето на спроведување. Овие три факти, а не инсталираниот пакет, опишуваат што распоредувањето всушност прави.