Snort sa gilid ng VPN: kung saan nakikita ang mga packet

Sundan ang isang kahilingan mula sa malayong laptop at tumatawid ito sa ilang hangganan bago pa man ito masuri ng anuman. Nagtatapos ang panlabas na tunnel sa proseso ng VPN, lumilitaw ang panloob na packet sa isang interface, at ang HTTPS session sa loob ay nagpapatuloy hanggang sa application. Ang tool sa inspeksyon ay nakikita lamang ang nakikita sa puntong nararating ito ng mga packet. Mag-install ng isa nang hindi nagpapasya sa puntong iyon, at ilalarawan ng mga log ang maling layer.

Isang packet ang tumatawid sa ilang hangganan

Bago ang pagtatapos ng VPN nakikita ng observer ang isang panlabas na koneksyon, karaniwang patungo sa port ng VPN, may mga address at sukat ngunit walang panloob na istruktura. Pagkatapos ng pagtatapos, ang mga panloob na address, port at protocol ay available sa puntong nagpoproseso na nag-aabot sa kanila. Ang sariling TLS ng application ay nananatiling naka-encrypt maliban kung tatapusin ito ng hiwalay na disenyo. Iyon ay tatlong antas ng visibility, at ang pangalan ng package ay hindi nagsasabi kung alin ang binili mo.

Iguhit ang landas na may markang hangganan, pagkatapos ilagay ang sensor sa linyang masasagot ang tanong, dahil bahagi ng sagot ang lokasyon. Ang hangganang hindi mo maipangalan ay hangganang hindi mo masusubukan.

Tingnan kung ano ang nababasa sa bawat punto

Suriin ang interface at isang maikling capture bago magtiwala sa anumang paglalarawan ng arkitektura.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Ipinapakita ng listahan ng link ang ang mga umiiral na tunnel at pisikal na interface, at ipinapakita ng capture ang eksaktong matatanggap ng sensor na nakakonekta doon. Kung nagpapakita ito ng panloob na address ngunit walang linyang kahilingan ng HTTP, pagkatapos ka ng pagtatapos ng VPN at nasa labas pa rin ng TLS ng application. Iyon ang normal na lugar para sa network detection at maling lugar para sa inspeksyon ng nilalaman. Ulitin ang capture sa panlabas na interface upang ihambing kung ano ang inilalantad ng kabilang hangganan.

Hindi makapag-block nang mag-isa ang passive detection

Hinihiwalay ng dokumentasyon ng inspeksyon ng Snort ang passive observation mula sa inline operation. Maaaring magbabala ang passive mode tungkol sa trapiko nang hindi ito hinihinto sa landas na iyon.

snort -T -c /etc/snort/snort.lua

Binibigyang-katwiran ng test mode ang configuration nang hindi pinapatakbo ang sensor, na siyang tamang unang hakbang bago ang anumang deployment. Ang inline operation ay nangangailangan ng tugmang kaayusan sa pagkuha ng packet at tumutugmang configuration ng enforcement, hindi lamang karagdagang flag. Kaya ang entry sa log ay hindi ebidensya na napigilan ang isang kahilingan, at ang prosesong sinimulan gamit ang opsyong mukhang inline ay hindi nagpapatunay na ang tunay na ipinasa na daloy ay dumadaan dito. Kumpirmahin kung saan talaga inihahatid ng implementasyon ang mga packet.

Piliin ang enforcement mode bago mag-deploy

Magpasya kung ang pangangailangan ay visibility o pagpigil, dahil magkaiba ang pag-uugali ng dalawa kapag nabigo. Ang passive sensor na namatay ay nag-iiwan ng trapikong dumadaloy at lumilikha ng puwang sa monitoring; ang inline device na namatay ay maaaring hayaang dumaan ang trapiko o pigilan ito, at ang pagpiling iyon ay dapat sinasadya. Sumang-ayon sa isang pinapayagang daloy, isang daloy na dapat tanggihan, at ang pag-uugaling gusto mo kapag nabigo ang sensor. Panatilihing hiwalay ang pagbawi ng pamamahala sa sinuring landas, upang ang pagkakamali sa sensor ay hindi rin mag-alis ng iyong access.

Pagkatapos itala ang nakikitang trapiko, ang puntong nagpoproseso at ang pag-uugali ng enforcement. Ang tatlong katotohanang iyon, hindi ang na-install na package, ang naglalarawan kung ano talaga ang ginagawa ng deployment.