Pont KVM pour l'interface promisc IDS

Le pont Linux est un commutateur de base de niveau 2. Pour qu'il puisse envoyer du trafic à une interface qui lui est connectée, le trafic doit être approprié pour cette interface (c'est-à-dire que l'adresse MAC de destination est accessible via ce port).

Alors que les commutateurs de couche 2 disposent souvent d'une fonction de mise en miroir des ports qui transmet tout le trafic traversant le commutateur à un port désigné, le pont Linux ne dispose pas de cette fonctionnalité.

Cependant, vous pouvez le simuler avec le contrôle du trafic (tc) de Linux. Je le fais pour transférer le trafic vers une machine virtuelle KVM exécutant suricata. La limitation de cette méthode est que vous ne pouvez mettre en miroir le trafic que sur un seul port physique.

Dans ce script, la fonction MONITOR_PORT est le port à surveiller, qui doit être un port physique, et MIRROR_PORT est l'interface vers laquelle le trafic sera envoyé (qui peut être un port virtuel ou un pont). Le port surveillé n'a pas besoin d'être en mode promiscuous avec cette méthode. Et le port miroir n'a pas besoin d'être ponté vers le port surveillé.

Dans mon cas, l'hôte a un pont br0, relié à eno1 et auquel toutes les machines virtuelles ont une NIC virtuelle. J'ai créé un réseau virtuel réservé à l'hôte (en tant que virbr2) pour cette VM et ajouté une deuxième NIC dans la VM suricata sur ce réseau en plus de sa NIC normale, et dirigé le trafic vers celle-ci.

[error@hypervisor ~]$ cat /etc/rc.d/rc.local
#!/bin/bash

# Mirror all packets from one port to another (for suricata)

MONITOR_PORT=eno1
MIRROR_PORT=virbr2

# Ingress
tc qdisc add dev $MONITOR_PORT ingress
tc filter add dev $MONITOR_PORT parent ffff: protocol all u32 match u8 0 0 action mirred egress mirror dev $MIRROR_PORT
# Egress
tc qdisc add dev $MONITOR_PORT handle 1: root prio
tc filter add dev $MONITOR_PORT parent 1: protocol all u32 match u8 0 0 action mirred egress mirror dev $MIRROR_PORT

Notez que je ne l'ai pas créé moi-même ; je l'ai repris sans vergogne de Mise en miroir des ports avec les ponts Linux Vous y trouverez une explication détaillée de son fonctionnement et une alternative utilisant Open vSwitch qui est beaucoup plus flexible (et beaucoup plus complexe).