VPN അരികിൽ Snort: പാക്കറ്റുകൾ കാണുന്നിടത്ത്

വിദൂര ലാപ്ടോപ്പിൽ നിന്ന് ഒരു അഭ്യർത്ഥന പിന്തുടരുക, എന്തെങ്കിലും അത് പരിശോധിക്കാനാകുന്നതിന് മുമ്പ് അത് പല അതിരുകളും കടക്കുന്നു. പുറം തുരങ്കം VPN പ്രക്രിയയിൽ അവസാനിക്കുന്നു, ഉൾ പാക്കറ്റ് ഒരു ഇന്റർഫേസിൽ പ്രത്യക്ഷപ്പെടുന്നു, അകത്തെ HTTPS സെഷൻ ആപ്ലിക്കേഷനിലേക്ക് തുടരുന്നു. പരിശോധനാ ഉപകരണം പാക്കറ്റുകൾ അതിൽ എത്തുന്ന ബിന്ദുവിൽ കാണുന്നത് മാത്രം കാണുന്നു. ആ ബിന്ദു തീരുമാനിക്കാതെ ഒന്ന് ഇൻസ്റ്റാൾ ചെയ്യുക, ലോഗുകൾ തെറ്റായ പാളി വിവരിക്കും.

ഒരു പാക്കറ്റ് പല അതിരുകളും കടക്കുന്നു

VPN അവസാനിക്കുന്നതിന് മുമ്പ് നിരീക്ഷകൻ ഒരു പുറം കണക്ഷൻ കാണുന്നു, സാധാരണയായി VPN പോർട്ടിലേക്ക്, വിലാസങ്ങളും വലിപ്പങ്ങളും ഉണ്ടെങ്കിലും ഉൾ ഘടനയില്ലാതെ. അവസാനിച്ചതിന് ശേഷം ഉൾ വിലാസങ്ങളും പോർട്ടുകളും പ്രോട്ടോക്കോളുകളും അവ കൈമാറുന്ന പ്രോസസ്സിംഗ് ബിന്ദുവിൽ ലഭ്യമാണ്. ആപ്ലിക്കേഷന്റെ സ്വന്തം TLS വേറിട്ട ഒരു രൂപകൽപ്പന അത് അവസാനിപ്പിക്കാത്ത പക്ഷം എൻക്രിപ്റ്റ് ചെയ്തതായി തുടരും. ഇവ മൂന്ന് ദൃശ്യതാ തലങ്ങളാണ്, പാക്കേജിന്റെ പേര് നിങ്ങൾ ഏതാണ് വാങ്ങിയതെന്ന് പറയുന്നില്ല.

അതിരുകൾ അടയാളപ്പെടുത്തി പാത വരയ്ക്കുക, തുടർന്ന് ചോദ്യത്തിന് ഉത്തരം നൽകാനാകുന്ന രേഖയിൽ സെൻസർ വയ്ക്കുക, കാരണം സ്ഥാനം ഉത്തരത്തിന്റെ ഭാഗമാണ്. നിങ്ങൾക്ക് പേര് നൽകാനാകാത്ത അതിർത്തി പരീക്ഷിക്കാനാകാത്ത അതിർത്തിയാണ്.

ഓരോ ബിന്ദുവിലും എന്ത് വായിക്കാമെന്ന് കാണുക

ആർക്കിടെക്ചറിന്റെ ഏതെങ്കിലും വിവരണം വിശ്വസിക്കുന്നതിന് മുമ്പ് ഇന്റർഫേസും ഒരു ചെറിയ ക്യാപ്ചറും പരിശോധിക്കുക.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

ലിങ്ക് പട്ടിക നിലവിലുള്ള തുരങ്കങ്ങളും ഭൗതിക ഇന്റർഫേസുകളും കാണിക്കുന്നു, ക്യാപ്ചർ അവിടെ ബന്ധിപ്പിച്ച സെൻസറിന് കൃത്യമായി എന്ത് ലഭിക്കുമെന്ന് കാണിക്കുന്നു. അത് ഉൾ വിലാസങ്ങൾ കാണിക്കുകയും HTTP അഭ്യർത്ഥനാ വരികൾ കാണിക്കാതിരിക്കുകയും ചെയ്താൽ, നിങ്ങൾ VPN അവസാനത്തിന് ശേഷമാണ്, ഇപ്പോഴും ആപ്ലിക്കേഷന്റെ TLS-ന് പുറത്താണ്. അത് നെറ്റ്വർക്ക് കണ്ടെത്തലിന് സാധാരണ സ്ഥലവും ഉള്ളടക്ക പരിശോധനയ്ക്ക് തെറ്റായ സ്ഥലവുമാണ്. മറ്റേ അതിർത്തി എന്ത് വെളിപ്പെടുത്തുന്നു എന്ന് താരതമ്യം ചെയ്യാൻ പുറം ഇന്റർഫേസിൽ ക്യാപ്ചർ ആവർത്തിക്കുക.

നിഷ്ക്രിയ കണ്ടെത്തലിന് സ്വയം തടയാനാകില്ല

Snort-ന്റെ പരിശോധനാ രേഖകൾ നിഷ്ക്രിയ നിരീക്ഷണത്തെ ഇൻലൈൻ പ്രവർത്തനത്തിൽ നിന്ന് വേർതിരിക്കുന്നു. നിഷ്ക്രിയ മോഡിന് ആ പാതയിൽ നിർത്താതെ ട്രാഫിക്കിനെക്കുറിച്ച് മുന്നറിയിപ്പ് നൽകാനാകും.

snort -T -c /etc/snort/snort.lua

ടെസ്റ്റ് മോഡ് സെൻസർ പ്രവർത്തിപ്പിക്കാതെ കോൺഫിഗറേഷൻ സാധൂകരിക്കുന്നു, ഏതെങ്കിലും വിന്യാസത്തിന് മുമ്പുള്ള ശരിയായ ആദ്യ ഘട്ടം അതാണ്. ഇൻലൈൻ പ്രവർത്തനത്തിന് അനുയോജ്യമായ പാക്കറ്റ് ശേഖരണ ക്രമീകരണവും ചേരുന്ന നിർവ്വഹണ കോൺഫിഗറേഷനും വേണം, ഒരു അധിക ഫ്ലാഗ് മാത്രമല്ല. അതിനാൽ ലോഗ് എൻട്രി ഒരു അഭ്യർത്ഥന തടയപ്പെട്ടു എന്നതിന് തെളിവല്ല, ഇൻലൈൻ പോലെ തോന്നുന്ന ഓപ്ഷനോടെ ആരംഭിച്ച പ്രക്രിയ യഥാർത്ഥത്തിൽ കൈമാറുന്ന ഫ്ലോ അതിലൂടെ കടക്കുന്നു എന്ന് തെളിയിക്കുന്നുമില്ല. നിർവ്വഹണം യഥാർത്ഥത്തിൽ എവിടെ പാക്കറ്റുകൾ കൈമാറുന്നു എന്ന് സ്ഥിരീകരിക്കുക.

വിന്യസിക്കുന്നതിന് മുമ്പ് നിർവ്വഹണ മോഡ് തിരഞ്ഞെടുക്കുക

ആവശ്യകത ദൃശ്യതയാണോ പ്രതിരോധമാണോ എന്ന് തീരുമാനിക്കുക, കാരണം രണ്ടിനും വ്യത്യസ്ത പരാജയ സ്വഭാവമാണ്. മരിക്കുന്ന നിഷ്ക്രിയ സെൻസർ ട്രാഫിക്ക് ഒഴുകാൻ അനുവദിക്കുകയും നിരീക്ഷണ വിടവ് സൃഷ്ടിക്കുകയും ചെയ്യുന്നു; മരിക്കുന്ന ഇൻലൈൻ ഉപകരണത്തിന് ട്രാഫിക്ക് കടത്തിവിടാനോ നിർത്താനോ കഴിയും, ആ തിരഞ്ഞെടുപ്പ് ബോധപൂർവമായിരിക്കണം. ഒരു അനുവദനീയ ഫ്ലോ, നിരസിക്കേണ്ട ഒരു ഫ്ലോ, സെൻസർ പരാജയപ്പെടുമ്പോൾ ആഗ്രഹിക്കുന്ന സ്വഭാവം എന്നിവയിൽ യോജിക്കുക. മാനേജ്മെന്റ് വീണ്ടെടുക്കൽ പരിശോധിച്ച പാതയിൽ നിന്ന് വേർതിരിച്ച് സൂക്ഷിക്കുക, സെൻസറിലെ തെറ്റ് നിങ്ങളുടെ പ്രവേശനവും എടുത്തുകളയാതിരിക്കാൻ.

തുടർന്ന് ദൃശ്യമായ ട്രാഫിക്കും പ്രോസസ്സിംഗ് ബിന്ദുവും നിർവ്വഹണ സ്വഭാവവും രേഖപ്പെടുത്തുക. ഇൻസ്റ്റാൾ ചെയ്ത പാക്കേജല്ല, ഈ മൂന്ന് വസ്തുതകളാണ് വിന്യാസം യഥാർത്ഥത്തിൽ എന്ത് ചെയ്യുന്നു എന്ന് വിവരിക്കുന്നത്.