cómo IPS y IPSec trabajan juntos en un host

1

Quiero saber cómo trabajan juntos. por ejemplo, implementamos el túnel IPSec entre 2 enrutadores y establecemos Snort IPS en el Enrutador 1. Cuando el Enrutador 1 recibe los paquetes, están encriptados. Ahora, ¿cuál los examina primero? Si IPS investiga los paquetes, no puede detectar contenido malicioso. ¿Entonces perdimos IPS por el túnel IPSec? mis preguntas son

  • ¿Cuál examina primero los paquetes de entrada?
  • ¿IPS examina el paquete después del descifrado? o antes del descifrado?

Creo que mi problema es que no tengo idea del flujo de paquetes cuando se reciben en la interfaz.

    
pregunta user245630 30.09.2014 - 11:56
fuente

1 respuesta

2

Enrutador basado en Linux

En Linux, el intercambio de claves (generalmente ISAKMP) se realiza en el espacio del usuario, mientras que las políticas de seguridad, las claves y el cifrado / descifrado se realizan a nivel del núcleo. Cuando llega un paquete, el núcleo primero procesa este paquete verificando si el SPI y la IP coinciden con una política de seguridad. Si lo hace, el paquete se procesa con las claves almacenadas de la política y se promueve en la pila de red para su procesamiento. Esto todavía se realiza a nivel del kernel.

Ahora, donde Snort se sienta en la implementación de la pila de red es importante. Como es un programa de espacio de usuario, recibe paquetes del núcleo. Esto se realiza generalmente por el filtro de red del núcleo. Luego, los paquetes del netfilter del kernel pasan a programas de espacio de usuario como snort [1] ( busca Snort) .

Lo que esto significa para ti

  1. Kernel ve paquetes encriptados
  2. El kernel determina si tiene una política de seguridad que coincida con estos paquetes
  3. En caso afirmativo, el núcleo descifra los paquetes y los promueve en la pila de la red
  4. Netfilter los procesa y lleva los paquetes descifrados al espacio del usuario
  5. Snort ve los paquetes descifrados y los procesa.

Este no es el proceso completo, y podría haber pasado por alto un poco de la pila de red del kernel de Linux. Pero de todos modos no quieres esos detalles.

O quizás lo haga ...
Detalles sucios en la pila de red del kernel de Linux
Detalles de suciedad en Netfilter
Filtrado de paquetes IPSec después de descifrado utilizando iptables

Una nota interesante: Si está olfateando paquetes en el Router 1 con Snort o incluso con Wireshark. Ping a través de la VPN. Desde el Enrutador 1, debería ver el paquete ESP cifrado que viene, y la respuesta descifrada en Snort / Wireshark. Como verificación de que, de hecho, verá ambos paquetes.

    
respondido por el RoraΖ 30.09.2014 - 13:46
fuente

Lea otras preguntas en las etiquetas