VPN च्या काठावर Snort: जिथे पॅकेट दिसतात

दूरच्या लॅपटॉपवरून एका विनंतीचा मागोवा घ्या आणि काहीही तिची तपासणी करू शकण्यापूर्वी ती अनेक सीमा ओलांडते। बाहेरील बोगदा VPN प्रक्रियेत संपतो, आतील पॅकेट इंटरफेसवर दिसते, आणि आतील HTTPS सत्र अनुप्रयोगापर्यंत सुरू राहते। तपासणी साधन फक्त त्या बिंदूवर दिसणारे पाहते जिथे पॅकेट त्याला पोहोचतात। तो बिंदू न ठरवता एक स्थापित करा, आणि लॉग चुकीच्या स्तराचे वर्णन करतील।

एक पॅकेट अनेक सीमा ओलांडते

VPN समाप्तीपूर्वी निरीक्षक एक बाह्य कनेक्शन पाहतो, सामान्यतः VPN पोर्टकडे, पत्ते आणि आकारांसह पण आतील रचनेशिवाय। समाप्तीनंतर आतील पत्ते, पोर्ट आणि प्रोटोकॉल ज्या प्रक्रिया बिंदूवर ते सुपूर्द केले जातात तिथे उपलब्ध असतात। अनुप्रयोगाचे स्वतःचे TLS वेगळी रचना ते संपवत नाही तोपर्यंत एन्क्रिप्टेड राहते। हे तीन दृश्यमानता स्तर आहेत, आणि पॅकेजचे नाव तुम्ही कोणते विकत घेतले हे सांगत नाही।

सीमा चिन्हांकित करून मार्ग काढा, नंतर प्रश्नाचे उत्तर देता येईल अशा रेषेवर सेन्सर ठेवा, कारण स्थान उत्तराचा भाग आहे। ज्या सीमेला तुम्ही नाव देऊ शकत नाही ती सीमा तुम्ही चाचणी करू शकत नाही।

प्रत्येक बिंदूवर काय वाचनीय आहे ते पहा

आर्किटेक्चरच्या कोणत्याही वर्णनावर विश्वास ठेवण्यापूर्वी इंटरफेस आणि लहान कॅप्चर तपासा।

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

लिंक यादी अस्तित्वात असलेल्या बोगदे आणि भौतिक इंटरफेस दाखवते, आणि कॅप्चर तिथे जोडलेल्या सेन्सरला नेमके काय मिळेल ते दाखवते। जर ती आतील पत्ते दाखवते पण HTTP विनंती ओळी दाखवत नाही, तर तुम्ही VPN समाप्तीनंतर आहात आणि अजूनही अनुप्रयोगाच्या TLS बाहेर आहात। ते नेटवर्क शोधासाठी सामान्य स्थान आहे आणि सामग्री तपासणीसाठी चुकीचे स्थान आहे। दुसरी सीमा काय उघड करते याची तुलना करण्यासाठी बाह्य इंटरफेसवर कॅप्चर पुन्हा करा।

निष्क्रिय शोध स्वतःहून ब्लॉक करू शकत नाही

Snort चे तपासणी दस्तऐवज निष्क्रिय निरीक्षणाला इनलाइन कार्यापासून वेगळे करते। निष्क्रिय मोड त्या मार्गावर न थांबवता रहदारीबद्दल सतर्क करू शकतो।

snort -T -c /etc/snort/snort.lua

चाचणी मोड सेन्सर न चालवता संरचना सत्यापित करतो, जो कोणत्याही उपयोजनापूर्वी योग्य पहिला टप्पा आहे। इनलाइन कार्यासाठी सुसंगत पॅकेट-संग्रहण व्यवस्था आणि जुळणारी अंमलबजावणी संरचना आवश्यक आहे, फक्त अतिरिक्त ध्वज नाही। त्यामुळे लॉग नोंद ही विनंती रोखली गेली याचा पुरावा नाही, आणि इनलाइनसारखा पर्याय असलेली प्रक्रिया सुरू केली म्हणजे प्रत्यक्ष पुढे पाठवलेला प्रवाह त्यातून जातो याचा पुरावा ठरत नाही। अंमलबजावणी प्रत्यक्षात पॅकेट कुठे सुपूर्द करते याची पुष्टी करा।

उपयोजनापूर्वी अंमलबजावणी मोड निवडा

आवश्यकता दृश्यमानता आहे की प्रतिबंध, हे ठरवा, कारण दोघांचे अयशस्वी होण्याचे वर्तन वेगळे आहे। मृत निष्क्रिय सेन्सर रहदारी वाहू देतो आणि देखरेखीत अंतर निर्माण करतो; मृत इनलाइन उपकरण रहदारी जाऊ देऊ शकते किंवा थांबवू शकते, आणि ती निवड जाणीवपूर्वक असावी। एका अनुमत प्रवाहावर, एका नाकारल्या जाणाऱ्या प्रवाहावर आणि सेन्सर अयशस्वी झाल्यावर तुम्हाला हवे असलेल्या वर्तनावर सहमती द्या। व्यवस्थापन पुनर्प्राप्ती तपासलेल्या मार्गापासून वेगळी ठेवा, जेणेकरून सेन्सरमधील चूक तुमचा प्रवेशही घेऊन जाणार नाही।

नंतर दृश्यमान रहदारी, प्रक्रिया बिंदू आणि अंमलबजावणी वर्तन नोंदवा। स्थापित पॅकेज नाही, ही तीन तथ्ये उपयोजन प्रत्यक्षात काय करते ते वर्णन करतात।