Snort aan de VPN-rand: waar de pakketten zichtbaar zijn

Volg één verzoek vanaf een externe laptop en het passeert verschillende grenzen voordat iets het kan inspecteren. De buitenste tunnel eindigt in het VPN-proces, het binnenste pakket verschijnt op een interface en de HTTPS-sessie binnenin loopt door naar de applicatie. Een inspectiehulpmiddel ziet alleen wat zichtbaar is op het punt waar de pakketten het bereiken. Installeer er een zonder dat punt te bepalen, en de logboeken beschrijven de verkeerde laag.

Eén pakket passeert verschillende grenzen

Vóór de VPN-terminatie ziet de waarnemer één buitenste verbinding, meestal naar de VPN-poort, met adressen en groottes maar zonder binnenstructuur. Na de terminatie zijn de binnenste adressen, poorten en protocollen beschikbaar op het verwerkingspunt dat ze overdraagt. De eigen TLS van de applicatie blijft versleuteld tenzij een apart ontwerp die termineert. Dat zijn drie zichtbaarheidsniveaus, en een pakketnaam zegt je niet welke je hebt gekocht.

Teken het pad met de grenzen gemarkeerd en plaats de sensor vervolgens op de lijn waar de vraag beantwoord kan worden, want de locatie is deel van het antwoord. Een grens die je niet kunt benoemen is een grens die je niet kunt testen.

Zie wat op elk punt leesbaar is

Controleer de interface en een korte opname voordat je een beschrijving van de architectuur vertrouwt.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

De linklijst toont de bestaande tunnel- en fysieke interfaces, en de opname toont precies wat een daar aangesloten sensor zou ontvangen. Als die binnenste adressen toont maar geen HTTP-verzoekregels, zit je na de VPN-terminatie en nog steeds buiten de TLS van de applicatie. Dat is de normale plek voor netwerkdetectie en de verkeerde plek voor inhoudsinspectie. Herhaal de opname op de buitenste interface om te vergelijken wat de andere grens blootlegt.

Passieve detectie kan niet zelf blokkeren

De inspectiedocumentatie van Snort scheidt passieve observatie van inline-werking. De passieve modus kan waarschuwen voor verkeer zonder het op dat pad te stoppen.

snort -T -c /etc/snort/snort.lua

De testmodus valideert de configuratie zonder de sensor te draaien, wat de juiste eerste stap is vóór elke implementatie. Inline-werking vereist een compatibele opstelling voor pakketopvang en een bijpassende handhavingsconfiguratie, niet alleen een extra vlag. Een logregel is daarom geen bewijs dat een verzoek is tegengehouden, en een proces dat met een inline-achtige optie is gestart, bewijst niet dat de werkelijke doorgestuurde stroom erdoorheen gaat. Bevestig waar de implementatie de pakketten daadwerkelijk overdraagt.

Kies de handhavingsmodus vóór implementatie

Bepaal of de eis zichtbaarheid of preventie is, want beide hebben ander faalgedrag. Een passieve sensor die uitvalt laat verkeer doorstromen en veroorzaakt een monitoringsgat; een inline-apparaat dat uitvalt kan verkeer doorlaten of stoppen, en die keuze moet bewust zijn. Spreek één toegestane stroom af, één stroom die geweigerd moet worden, en het gedrag dat je wilt wanneer de sensor faalt. Houd herstel van beheer gescheiden van het geïnspecteerde pad, zodat een fout in de sensor niet ook je toegang wegneemt.

Leg daarna het zichtbare verkeer, het verwerkingspunt en het handhavingsgedrag vast. Die drie feiten, niet het geïnstalleerde pakket, beschrijven wat de implementatie werkelijk doet.