Snort ved VPN-kanten: der pakkane er synlege

Følg éin førespurnad frå ein ekstern berbar PC, og han kryssar fleire grenser før noko kan inspisere han. Den ytre tunnelen sluttar i VPN-prosessen, den indre pakken viser seg på eit grensesnitt, og HTTPS-økta innanfor held fram til applikasjonen. Eit inspeksjonsverktøy ser berre det som er synleg på punktet der pakkane når det. Installer eitt utan å avgjere dette punktet, og loggane skildrar feil lag.

Éin pakke kryssar fleire grenser

Før VPN-terminering ser observatøren éi ytre tilkopling, typisk til VPN-porten, med adresser og storleikar, men utan indre struktur. Etter termineringa er dei indre adressene, portane og protokollane tilgjengelege på det handsamingspunktet som overlet dei. Applikasjonen sin eigen TLS blir verande kryptert med mindre eit eige design terminerer han. Det er tre synlegheitsnivå, og eit pakkenamn fortel deg ikkje kva du kjøpte.

Teikn ruta med grensene markerte, og plasser deretter sensoren på linja der spørsmålet kan svarast, fordi plasseringa er ein del av svaret. Ei grense du ikkje kan namngje, er ei grense du ikkje kan teste.

Sjå kva som er lesbart på kvart punkt

Kontroller grensesnittet og eit kort opptak før du stolar på noka skildring av arkitekturen.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Lenkelista viser tunnel- og fysiske grensesnitt som finst, og opptaket viser nøyaktig kva ein sensor tilkopla der ville motta. Viss han viser indre adresser, men ingen HTTP-førespurnadslinjer, er du etter VPN-termineringa og framleis utanfor TLS-en til applikasjonen. Det er den normale staden for nettverksdeteksjon og den feil staden for innhaldsinspeksjon. Gjenta opptaket på det ytre grensesnittet for å samanlikne kva den andre grensa avdekkjer.

Passiv deteksjon kan ikkje blokkere åleine

Inspeksjonsdokumentasjonen til Snort skil passiv observasjon frå drift i linja. Passiv modus kan varsle om trafikk utan å stoppe han på den ruta.

snort -T -c /etc/snort/snort.lua

Testmodus validerer konfigurasjonen utan å køyre sensoren, noko som er det rette første steget før kvar ein utrulling. Drift i linja krev eit kompatibelt opplegg for pakkefangst og ein samsvarande handhevingskonfigurasjon, ikkje berre eit ekstra flagg. Ei loggoppføring er derfor ikkje bevis for at ein førespurnad vart hindra, og ein prosess starta med eit inline-liknande alternativ beviser ikkje at den faktiske vidaresende straumen går gjennom han. Stadfest kvar implementasjonen faktisk overlet pakkane.

Vel handhevingsmodus før utrulling

Avgjer om kravet er synlegheit eller hindring, fordi dei to har ulik feilåtferd. Ein passiv sensor som døyr, lèt trafikken halde fram og skaper eit overvakingshol; ei eining i linja som døyr, kan anten sleppe trafikken gjennom eller stoppe han, og det valet må vere medvite. Bli einige om éin tillaten straum, éin straum som må avvisast, og åtferda du ønskjer når sensoren sviktar. Hald attoppretting av administrasjon skild frå den inspiserte ruta, slik at ein feil i sensoren ikkje òg fjernar tilgangen din.

Registrer deretter den synlege trafikken, handsamingspunktet og handhevingsåtferda. Dei tre fakta, ikkje den installerte pakken, skildrar kva utrullinga faktisk gjer.