Route/Bridge - Контент-фильтр на свитче или рутере

dmitryst · Конфигурация компьютера

Цитата kim-aa:

"Open" и "Free" не значит, что никто не платит. »

я знаю. Но нам, как конечному потребителю, неважно, кто платит вместо нас

Jula0071 · Отправлено: **12:46, 28-11-2022** | #12

Цитата dmitryst:

кто платит вместо нас »

У снорта есть платная подписка на сигнатуры. Бесплатная тоже есть, но она отстаёт на 30 дней.

Цитата kim-aa:

Сигнатурный анализ хреновенько реализуется на процессорах общего назначения. Нужны либо ASIC как у Fortinet, либо специализированные потоковые процессоры как у PaloAlto. »

В принципе для сохо есть недорогие решения с DPI, например UIPS EdgeRouter. Есть даже полностью софтверные, вроде ntop nEdge. Не знаю, насколько оно производительно, не пробовал. В любом случае, поскольку нынче львиная доля трафика шифруется TLS, для полноценного DPI нужно делать митм подмену сертификата, следовательно установку в траст клиентов своей CA, что не везде возможно. На оборудовании предприятия например да, а в личные телефоны сотрудников уже не залезешь. Без этого можно разве что по SNI фильтровать, да и то в TLS 1.3 это может быть прикрыто, а также есть такая штука как DNS over HTTPS, что тоже делает фильтрацию по SNI невозможной.

bredych · Отправлено: **23:40, 28-11-2022** | #13

Цитата kim-aa:

это по прежнему пакетный »

я знаю. спросил по принципу "если нет на пОльта белок - ну хотя бы дайте кошку". Если нельзя контент, то хоть фичу дропать пакеты по сессиям, открытым не мною.

Цитата kim-aa:

Даже в тяжелых коммутаторах Cisco типа 6500X продвинутый фаервол реализовывался отдельной платой, а не средствами основной платы. »

огорчён.
Как понимаю, если валяются какие-то древние сиськи, вероятность найти там что-то подобное приближается к нулю? А вероятность заставить работать по хоть сколько-то актуальным сигнатурам - и того меньше?

Цитата kim-aa:

Сигнатурный анализ хреновенько реализуется на процессорах общего назначения. »

рутеры - имеются в виду общее назначение?

Цитата kim-aa:

Основная ценность таких устройств это обновляемая база Сигнатур, »

то есть, никаких анализов поведения в принципе не бывает?
А кстати, пусть и чисто теоретически, базы сигнатур от стороннего источника, к примеру, бесплатного антивирь-сканера, использовать таким макаром невозможно?
Подозреваю, что против таких хитрых заранее предусмотрены грабли, но интересно, а вдруг нет?

Цитата kim-aa:

"Open" и "Free" не значит, что никто не платит. »

ну, в принципе, понятно, что премиум-поддержка по сигнатурам от сиськи идёт по подписке, а бесплатно только сигнатуры от комьюнити.
https://snort.org/
Но это вот добро пашет только с машины под линем, или с свитч/рутера тоже?

Цитата Jula0071:

для полноценного DPI нужно делать митм подмену сертификата, следовательно установку в траст клиентов своей CA, что не везде возможно. »

да я рассматривал для начала для личного пользования. Но, как понимаю, тут всё равно надо покупать специализированное железо, софтом здесь не обойтись?

dmitryst · Конфигурация компьютера

Цитата bredych:

Но это вот добро пашет только с машины под линем, или с свитч/рутера тоже? »

если туда сможете снорт вкарячить, то да. Те же программные рутеры на *NIX позволяют это сделать. С OpenWrt придется повозиться, но, как пишут, решаемо

Jula0071 · Отправлено: **13:14, 29-11-2022** | #15

Цитата bredych:

Цитата kim-aa:
Сигнатурный анализ хреновенько реализуется на процессорах общего назначения. »
рутеры - имеются в виду общее назначение? »

Имеются в виду процессоры общего назначения, универсальные - архитектур x86, arm, mips - которые используются в маршрутизаторах начального уровня, в противовес специализированным (ASIC), которые способны выполнять специализированный ограниченный набор инструкций, зато делают это значительно быстрее, чем универсальные.

Цитата bredych:

тут всё равно надо покупать специализированное железо, софтом здесь не обойтись? »

Как правило да, и ещё подписку. Есть софтверные решения вроде уже упомянутого nEdge, можно поставить и в виртуалку с passthrough интерфейсами, но чёт не нашёл в документации функционала подмены сертификата. Ну может плохо смотрел, а так DPI там выходит не совсем полноценный.

bredych · Отправлено: **13:24, 29-11-2022** | #16

не, хотел именно развязаться с компом, чтоб отдельная ступень была, не висящий на компе сервис.

dmitryst · Конфигурация компьютера

bredych, ставьте второй комп в роли рутера

Jula0071 · Отправлено: **14:08, 29-11-2022** | #18

Цитата dmitryst:

в роли рутера »

Или в роли фильтрующего бриджа.

bredych · Отправлено: **22:32, 29-11-2022** | #19

Цитата dmitryst:

bredych, ставьте второй комп в роли рутера

не, это уже иллюстрация анекдота про едущие сзади скорую и пожарную в роли огнетушителя и аптечки..

dmitryst · Конфигурация компьютера

bredych, у вас что, комп в семье один? Если да, то, пожалуй, смысла мало, разве что есть какая-нибудь древность, которая все равно без дела лежит. Если нет - он же может раздавать интернет всем, с фильтрацией, и без преферансов и куртизанок