Wie Port Mirror für IDS/IPS (LXC Container) erstellen?

[julz22x4]

Hallo,
Folgendes Szenario:
Virtual Private Server mit Proxmox 7.4 und einer Öffentlichen Schnittstelle, welche auf einer Linux Bridge vmbr0 liegt.
Ich möchte nun jeglichen Traffic, ob ein oder ausgehend von vmbr0 in einen LXC Container spiegeln, welcher als IDS/IPS dienen soll.
Wie realisiere ich das am besten.
Gibt es irgendwo eine Schritt für Schritt Anleitung hierfür?

Danke

 

[floh8]

Was sagt denn das internet?

 

[CoolTux]

Sicher das der Netzwerkverkehr gespiegelt werden soll? Macht für ein IDS wenig Sinn. Und schon gar keinen für ein IPS.
Beides läuft meistens auf einer Firewall.

Am besten Du stellst eine Firewall vor dem PVE. Oder wenn virtuelle Firewall im PVE dann die externe IP am WAN Por der Firewall anlegen.

 

[julz22x4]

Danke für eure Antworten

Also eine FW die das macht kann ich leider nicht so einfach laufen lassen, da ich für zb. OPNsense oder vergleichbar eine VM bräuchte und das nicht geht, da Nested Viirtualization nicht erlaubt ist bei meinem Provider (Netcup dedicated root server).
Aber darum soll es hier auch nicht gehen.

Ich habe jetzt einen Debian LXC Container mit Snort3 installiert, der vorerst mal als IDS dienen soll.
Meine Idee war eben vmbr0 (die Schnittstelle, welche auf der physischen ens3 liegt) in den LXC container zu spiegeln.
So sollte snort in der Lage sein alle Pakete zu sniffen.

Das Internet sagt dazu n haufen Dinge aber nichts richtig.
Zum beispiel verstehe ich nicht, dass viele Anleitungen sagen es ginge nur mit OpenVSwitch und nicht mit einer Linux Bridge.
(vmbr0 ist eine Linux Bridge)
Warum kann ich in der Proxmox GUI eine OVS-Bridge anlegen ... aber auf console ist openvswitch-switch garnicht installiert?
Wie bekomme ich einen Port Mirror mit openvswitch-switch hin?

Weiter gibt es noch Anleitungen mit tools wie tc (traffic controll) oder daemonlogger, was aber veraltet ist und nicht funktioniert bei mir.
Von solchen tools möchte ich aber ehrlich gesagt abstand nehmen.

 

[floh8]

Also eine FW die das macht kann ich leider nicht so einfach laufen lassen, da ich für zb. OPNsense oder vergleichbar eine VM bräuchte und das nicht geht, da Nested Viirtualization nicht erlaubt ist bei meinem Provider (Netcup dedicated root server).

Das ist natürlich doof, aber für deinen Fall nicht relevant.

es ginge nur mit OpenVSwitch und nicht mit einer Linux Bridge.

das wird schon stimmen, denn der ovs kann viel mehr als eine linux bridge und wenn dort nur solch eine Funktion implementiert ist, dann ist es halt so.

Warum kann ich in der Proxmox GUI eine OVS-Bridge anlegen ... aber auf console ist openvswitch-switch garnicht installiert?

Das ist wirklich eine gute Frage. Du hast Recht. Er meckert an, dass es nicht installiert ist. Weiß nicht, was sich Proxmox dabei denkt.

Wie bekomme ich einen Port Mirror mit openvswitch-switch hin?

Sollen wir jetzt für dich das Internet durchsuchen? Suchmaschine an und 2. Treffer: https://arthurchiao.art/blog/traffic-mirror-with-ovs/#14-container-network-basics