Ich möchte den gesamten Datenverkehr (auch VPN, WLAN, WAN) von einem Consumer-Router (TPLink WR1043ND v.1.x) auf einen Snort-Sensor spiegeln, der sich im selben Netzwerk befindet, jedoch ohne zusätzliche Hardware! Die Spiegelung muss vom Router durchgeführt werden (mit OpenWrt Barrier Breaker).
Das Spiegeln des WAN-Ports des Routers würde sogar von der aktuellen Firmware unterstützt , aber die Daten dieses Streams sind für mich nutzlos , da sie nicht die internen IPs der an den Router angeschlossenen Geräte enthalten ! Ich möchte den gespiegelten Datenverkehr im Router mit allen internen IP-Adressen.
Also habe ich schnell darüber nachgedacht tcpdump -i any
. Aber meines Wissens ist es nicht möglich, configure ‚tcpdump‘ streamen die gespiegelte Verkehr zum Schnauben Sensor direkt? (ohne riesige pcap-dateien zu generieren und auf der festplatte zu speichern)?
Wie löse ich das?
Anhang: Funktioniert dies mit der Verwendung der iptables --tee
Option zum Spiegeln des gesamten Datenverkehrs? Ich denke, ich müsste dieses ' TEE iptables extensions ' ipkg oder dieses ' Kernel modules for TEE ' ipkg aus dem OpenWRT-Repository installieren, um zu funktionieren? Würde das funktionieren oder brauche ich noch etwas?
Antworten:
Ja, iptables TEE funktioniert. Ich habe einen Tplink-Router und spiegele den Datenverkehr genau aus dem gleichen Grund wie Sie.
Installieren Sie alle erforderlichen Module und Pakete für TEE.
Angenommen, Ihre Überwachungs-IP-Adresse lautet
10.1.1.205
:quelle
Ein Patch für OpenWrt zur Aktivierung der Portspiegelung auf Ihrer Hardware ist verfügbar, wurde jedoch nur in begrenztem Umfang getestet. Sie können es natürlich auch selbst anwenden und testen.
quelle
Es ist nun möglich, die Portspiegelung in OpenWrt über die Switch-Konfiguration einzurichten. Dies kann entweder über die OpenWrt-Webschnittstelle (LuCI) erfolgen, indem Sie im Menü Netzwerk-> Switch die Option 'Spiegelung eingehender Pakete aktivieren' und / oder 'Spiegelung ausgehender Pakete aktivieren' aktivieren und die gewünschten Schnittstellen festlegen . Andernfalls kann dies durch Bearbeiten des Switch-Abschnitts der Netzwerkkonfigurationsdatei (
/etc/config/network
) erreicht werden.quelle