모든 라우터 트래픽 (openwrt)을 snort 센서에 미러링합니까?

소비자 라우터 (TPLink WR1043ND v.1.x)에서 추가 하드웨어없이 동일한 네트워크에 위치한 코인 센서로 모든 트래픽 (VPN, WLAN, WAN)을 미러링하고 싶습니다! 미러링은 라우터 (OpenWrt Barrier Breaker 실행)에 의해 수행되어야합니다.

라우터의 WAN 포트 미러링은 현재 펌웨어에서도 지원 되지만 이 스트림 의 데이터 는 라우터에 연결된 장치 의 내부 IP 를 포함하지 않기 때문에 쓸모 가 없습니다 ! 모든 내부 IP가있는 라우터 내부 에서 미러링 된 트래픽을 원합니다 .

그래서 나는 빨리 생각했다 tcpdump -i any. 그러나 내 지식으로는 미러 트래픽을 snort 센서로 직접 스트리밍 하도록 'tcpdump'를 구성 할 수 없습니까? (대용량 pcap 파일을 생성하여 하드 드라이브에 저장하지 않고)?

이 문제를 어떻게 해결합니까?

부록 : iptables --tee모든 트래픽을 미러링 하는 옵션 을 사용하여 작동 합니까? 작동하려면 OpenWRT 리포지토리 에서이 ' TEE iptables 확장 프로그램 'ipkg 또는이 ' TEE 용 커널 모듈 'ipkg 를 설치해야한다고 생각 합니까? 이것이 효과가 있습니까? 아니면 다른 것이 필요합니까?

openwrt

— 사용자
소스

이것은 좋은 질문이며 답을 듣고 싶습니다. 그러나 소비자 장비와 OpenWRT와 같은 대체 펌웨어에 더 익숙해 져서 수퍼 유저로 옮기기로 결정했습니다.

— EEAA

답변:

예 iptables TEE가 작동합니다. 나는 tplink 라우터를 가지고 있으며 당신과 같은 이유로 정확하게 트래픽을 미러링하고 있습니다.

TEE에 필요한 모든 모듈과 패키지를 설치하십시오.

모니터링 IP 주소가이라고 가정하면 다음을 10.1.1.205실행하십시오.

iptables -A POSTROUTING -t mangle -o br-lan ! -s 10.1.1.205 -j TEE --gateway 10.1.1.205

iptables -A PREROUTING -t mangle -i br-lan ! -d 10.1.1.205 -j TEE --gateway 10.1.1.205

— 메 토스
소스

OpenWrt 미러링 포트를 활성화하기위한 패치 가 제한적인 테스트를받은하지만 하드웨어에는 사용할 수 있습니다. 물론 직접 적용하고 테스트 할 수 있습니다.

— 마이클 햄튼
소스

내 질문 에서이 기능을 언급했습니다. WAN 포트를 미러링 할 때 문제가 발생합니다. 대상 서버의 공용 라우터 IP 및 IP 만 얻습니다. 그러나 클라이언트 의 내부 IP 와 정확한 연결이 코골이 센서에 공급 되기를 원합니다 .

— user3200534

다른 포트를 미러링하려면 해당 포트를 선택해야합니다!

— Michael Hampton

예, 1-4 개의 LAN 슬롯 (포트) 중에서 선택할 수 있습니다. 아니 WLan! VPN이 없습니다! 장치 뒷면의 eth-port 또는 포트 0 (= WAN). 라우터의 모든 트래픽과는 거리가 멀습니다 .

— user3200534

흠. 모든 트래픽을 미러링 할 수 있다고 생각하지 않습니다 . 이것은 결국 하드웨어 스위치 의 기능입니다 . 예를 들어 WLAN 트래픽이나 가상 인터페이스 트래픽은 발생하지 않습니다. 비슷한 상황에있는 다른 사람이이 기능을 유용하게 사용할 수 있습니다.

— Michael Hampton

이 패치를 어떻게 적용 할 것인지 세부 정보를 공유 할 수 있습니까?

— AK_

이제 스위치 구성을 통해 OpenWrt에서 포트 미러링을 설정할 수 있습니다. 이것은 네트워크-> 스위치 메뉴로 이동 한 다음 '들어오는 패킷의 미러링 사용'및 / 또는 '나가는 패킷의 미러링 사용'을 활성화하고 원하는 인터페이스를 설정하여 OpenWrt 웹 인터페이스 (LuCI)를 사용하여 수행 할 수 있습니다 . 그렇지 않으면 네트워크 구성 파일 ( /etc/config/network) 의 스위치 섹션을 편집 하여이 작업을 수행 할 수 있습니다 .

— 피어 즈
소스