🛡️ Intégration de Suricata dans VyOS via un conteneur

📘 Introduction

Ce document décrit la mise en place d’un conteneur Suricata sur un routeur VyOS afin d’analyser le trafic réseau en mode IDS/IPS.
L’objectif est d’obtenir une inspection des paquets transitant à travers le routeur, tout en gardant une configuration persistante dans /config.

---

🧩 Architecture générale

• VyOS joue le rôle de routeur principal.
• Suricata est déployé dans un conteneur Docker géré nativement par VyOS.
• La configuration et les règles de Suricata sont stockées dans le répertoire persistant /config.
• Le trafic réseau est redirigé vers Suricata via iptables et NFQUEUE pour inspection.

        ┌──────────────┐
        │   Internet    │
        └──────┬───────┘
               │
        ┌──────┴───────┐
        │     VyOS      │
        │  (routeur)    │
        │                │
        │ ┌────────────┐ │
        │ │ Suricata   │ │
        │ │ (container)│ │
        │ └────────────┘ │
        └──────┬─────────┘
               │
         Réseau local

⚙️ Configuration VyOS

Conteneur Suricata

set container name suricata allow-host-networks
set container name suricata arguments '-q 0 -q 1 -q 2 -q 3 --runmode workers'
set container name suricata capability 'net-admin'
set container name suricata capability 'sys-nice'
set container name suricata image 'jasonish/suricata:latest'
set container name suricata memory '6144'
set container name suricata volume config destination '/etc/suricata'
set container name suricata volume config source '/config/containers/suricata/etc'
set container name suricata volume logs destination '/var/log/suricata'
set container name suricata volume logs source '/var/log/suricata'
set container name suricata volume rules destination '/var/lib/suricata'
set container name suricata volume rules source '/config/containers/suricata/rules'
allow-host-networks : permet au conteneur d’accéder au réseau du routeur.

arguments : définit les files NFQUEUE utilisées (-q 0 -q 1 -q 2 -q 3) et le mode de travail (–runmode workers).

capabilities : autorise les privilèges nécessaires pour l’analyse réseau.

volumes : montent les répertoires persistants du système VyOS dans le conteneur.

📦 Organisation des fichiers

/config/
├── containers/
│   └── suricata/
│       ├── etc/          ← Configuration Suricata (suricata.yaml, classification.config, etc.)
│       └── rules/        ← Règles IDS (Emerging Threats, etc.)
├── scripts/
│   ├── suricata-update.sh  ← Script de mise à jour des règles
│   └── vyos-preconfig-bootup.script ← Script iptables exécuté au boot
└── ...

🔁 Redirection du trafic avec iptables

Le script /config/scripts/vyos-preconfig-bootup.script contient les règles suivantes :

# Marquer les paquets forwardés
iptables -t mangle -A FORWARD -j MARK --set-mark 10

# Rediriger vers Suricata via NFQUEUE
iptables -t mangle -A POSTROUTING -m mark --mark 10 -j NFQUEUE \
  --queue-balance 0:3 \
  --queue-cpu-fanout \
  --queue-bypass

Explications : Tous les paquets transitant (FORWARD) sont marqués.

Les paquets marqués sont envoyés à Suricata via NFQUEUE.

–queue-balance 0:3 : répartit la charge sur 4 files de traitement.

–queue-bypass : laisse passer le trafic si Suricata n’est pas actif (pas de coupure réseau).

C’est brutal, mais tout va être analysé.

🧠 Mode d’analyse Suricata

Dans le fichier /config/containers/suricata/etc/suricata.yaml, le paramètre suivant doit être activé :

host-mode: router

Cela indique que Suricata doit analyser le trafic forwardé (celui qui transite à travers le routeur iptables forward) et non le trafic local (iptables input/output)

🔄 Mise à jour automatique des règles

Une tâche planifiée VyOS gère la mise à jour quotidienne des règles Suricata :

set system task-scheduler task update-suricata-rules executable path '/config/scripts/suricata-update.sh'
set system task-scheduler task update-suricata-rules interval '1d'

Le script /config/scripts/suricata-update.sh contient typiquement :

set -euo pipefail

LOGFILE="/var/log/suricata-update.log"
CONTAINER="suricata"
TAG="suricata-update"

# tableau des commandes suricata-update
COMMANDS=(
    "suricata-update"
    "suricata-update list-sources"
    "suricata-update list-enabled-sources"
    "suricata-update enable-source et/open"
    "suricata-update enable-source oisf/trafficid"
    "suricata-update -f"
)

# fonction log simple compatible root / non-root
log() {
    local level="$1"; shift
    local msg="$*"

    logger -t "$TAG" -p "user.${level}" "$msg"

    echo "$(date '+%F %T') - $msg" | sudo tee -a "$LOGFILE" >/dev/null
}

log info "=== Mise à jour des règles Suricata ==="

if ! sudo podman ps --format '{{.Names}}' | grep -qx "$CONTAINER"; then
    log error "Erreur : conteneur '$CONTAINER' introuvable."
    exit 1
fi

for CMD in "${COMMANDS[@]}"; do
    log info "Exécution de '$CMD' dans le conteneur..."
    if ! sudo podman exec --user suricata "$CONTAINER" $CMD 2>&1 | sudo tee -a "$LOGFILE"; then
        log error "Échec de l'exécution de '$CMD'."
        exit 2
    fi
done

log info "Redémarrage du conteneur Suricata..."
if ! /opt/vyatta/bin/vyatta-op-cmd-wrapper restart container "$CONTAINER" 2>&1 | sudo tee -a "$LOGFILE"; then
    log error "Erreur lors du redémarrage."
    exit 3
fi

log info "Mise à jour terminée avec succès."

📡 Synchronisation de la configuration Pour sauvegarder ou récupérer la configuration VyOS (et donc Suricata), on peut utiliser rsync :

/usr/bin/rsync -avz --rsync-path="sudo rsync" jbsky@
<IP_VYOS>:/config/ ./vyos/config/

Cette méthode permet :

De récupérer la configuration complète du routeur.

De la versionner dans un dépôt Git.

De la restaurer facilement sur une autre instance VyOS.

📈 Points forts du setup ✅ Conteneurisation propre et isolée ✅ Configuration persistante dans /config ✅ Inspection inline via NFQUEUE ✅ Mise à jour automatique des règles ✅ Sauvegarde facile par rsync

⚠️ Points à surveiller Performance : NFQUEUE peut introduire une légère latence ; si besoin, envisager AF_PACKET. => franchement, je ne vois pas la diff, je plafonne à 1GB avec iperf3.

Sécurité : allow-host-networks expose le conteneur au réseau hôte, à restreindre si possible. Mais dans ce cas, il faudrait une autre solution. :)

Logs : /var/log/suricata peut croître rapidement — penser à une rotation ou une purge automatique.

exemple de logrotate, fichier avec root en tant qu’owner

/var/log/suricata/*.log /var/log/suricata/*.json
{
    daily
    maxsize 100M
    rotate 10
    missingok
    nocompress
    copytruncate
}

Mise à jour du conteneur : vérifier régulièrement la version de l’image jasonish/suricata:latest.

🧩 Références utiles Documentation VyOS – Containers

Suricata Documentation

NFQUEUE & Suricata Inline Setup

🏁 Conclusion

Cette intégration permet à VyOS de fonctionner comme un routeur IDS/IPS complet grâce à Suricata, tout en gardant une architecture modulaire, persistante et automatisée. Le tout repose sur des composants standard (containers, iptables, rsync) faciles à maintenir et à reproduire.

🛑 Réserve personnel

1. suricata bloque les connexions inactives.
2. J’ai augmenté la RAM à 6Go pour éviter un éventuel crash, vu que j’en ai eu un récément, je surveille. logrotate n’était pas fontionnel, à voir si ça corrige.
3. Je viens de doubler la règle mark pour suivre que la carte ethernet wan, ça bloque toujours les connexions actives

iptables -t mangle -A FORWARD -j MARK --set-mark 10 -i wan.vlanX
iptables -t mangle -A FORWARD -j MARK --set-mark 10 -o wan.vlan