VPN chekkasida Snort: paketlar qayerda ko’rinadi

Uzoqdagi noutbukdan bitta so’rovni kuzatib boring va u biror narsa tekshirishi mumkin bo’lishidan oldin bir nechta chegaradan o’tadi. Tashqi tunnel VPN jarayonida tugaydi, ichki paket interfeysda paydo bo’ladi va ichkaridagi HTTPS sessiyasi ilovagacha davom etadi. Tekshirish vositasi faqat paketlar unga yetib boradigan nuqtada ko’rinadigan narsani ko’radi. O’sha nuqtani aniqlamasdan o’rnating, jurnallar noto’g’ri qatlamni tasvirlaydi.

Bitta paket bir nechta chegaradan o’tadi

VPN tugashidan oldin kuzatuvchi bitta tashqi ulanishni ko’radi, odatda VPN portiga, manzillar va o’lchamlar bilan, lekin ichki tuzilishsiz. Tugagandan so’ng ichki manzillar, portlar va protokollar ularni topshiruvchi qayta ishlash nuqtasida mavjud bo’ladi. Ilovaning o’z TLS shifrlangan bo’lib qoladi, agar alohida dizayn uni tugatmasa. Bular ko’rinishning uch darajasi, va paket nomi qaysi birini sotib olganingizni aytmaydi.

Yo’lni chegaralarni belgilab chizing, so’ng sensorni savolga javob berish mumkin bo’lgan chiziqqa qo’ying, chunki joy javobning bir qismi. Nom bera olmaydigan chegara — sinab ko’ra olmaydigan chegara.

Har bir nuqtada nima o’qilishini ko’ring

Arxitekturaning har qanday tavsifiga ishonishdan oldin interfeys va qisqa yozuvni tekshiring.

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

Havolalar ro’yxati mavjud tunnellar va fizik interfeyslar ko’rsatadi va yozuv u yerda ulangan sensor aynan nima olishini ko’rsatadi. Agar u ichki manzillarni ko’rsatib, HTTP so’rov satrlarini ko’rsatmasa, siz VPN tugashidan keyinsiz va hali ham ilovaning TLS tashqarisidasiz. Bu tarmoqni aniqlash uchun odatiy joy va tarkibni tekshirish uchun noto’g’ri joy. Boshqa chegara nimani ochishini solishtirish uchun yozuvni tashqi interfeysda takrorlang.

Passiv aniqlash o’zi bloklay olmaydi

Snort tekshiruv hujjatlari passiv kuzatishni chiziq ichidagi ishlashdan ajratadi. Passiv rejim trafik haqida o’sha yo’lda to’xtatmasdan ogohlantirishi mumkin.

snort -T -c /etc/snort/snort.lua

Sinov rejimi sensorni ishga tushirmasdan konfiguratsiyani tekshiradi, bu har qanday joylashtirishdan oldin to’g’ri birinchi qadamdir. Chiziq ichidagi ishlash mos paket yig’ish tartibi va unga mos ijro konfiguratsiyasini talab qiladi, shunchaki qo’shimcha bayroq emas. Shuning uchun jurnal yozuvi so’rov to’xtatilganiga dalil emas, va chiziq ichidagiga o’xshash parametr bilan boshlangan jarayon haqiqiy uzatilgan oqim u orqali o’tishini isbotlamaydi. Amalga oshirish paketlarni haqiqatda qayerda topshirishini tasdiqlang.

Joylashtirishdan oldin ijro rejimini tanlang

Talab ko’rinishmi yoki oldini olishmi ekanini hal qiling, chunki ikkalasi ham har xil nosozlik xulqiga ega. O’lgan passiv sensor trafikni oqishda qoldiradi va kuzatuv bo’shlig’ini yaratadi; o’lgan chiziq ichidagi qurilma trafikni o’tkazishi yoki to’xtatishi mumkin, va bu tanlov qasddan bo’lishi kerak. Bitta ruxsat etilgan oqim, bitta rad etilishi kerak bo’lgan oqim va sensor ishlamay qolganda xohlagan xulq haqida kelishing. Boshqaruvni tiklashni tekshirilgan yo’ldan alohida saqlang, sensor xatosi sizning kirishingizni ham olib qo’ymasin.

So’ng ko’rinadigan trafikni, qayta ishlash nuqtasini va ijro xulqini yozib oling. O’rnatilgan paket emas, bu uch fakt joylashtirish haqiqatda nima qilishini tasvirlaydi.