Waarom die blokkering van VPN-poorte ongemagtigde tonnels nie stop nie

’n Firewall-reël weier die verkeer wat dit pas. Dit weier nie elke gebruik van ’n verbinding wat dit toelaat nie, en dit is juis in daardie gaping waar die meeste beleide teen ongemagtigde tonnels faal. Om die poorte te blokkeer van watter kliënt vyf jaar gelede ook al gewild was, laat alles wat oor 443 ry onaangeraak, en dit sê niks oor ’n toestel wat sy eie roetes kan herskryf nie. Bou die beheer rondom bevoegdheid en bestemmings, en lees dan die vloei wat jy werklik toelaat.

Waarom ’n portlys nie ’n beleid is nie

Poorte is ’n vervoerlaag-konsep, en verskeie tonneltegnologieë gebruik glad nie een nie. Ander deel doelbewus ’n poort met gewone webverkeer omdat daardie poort die een is wat gewaarborgd deurgelaat word. ’n Reël wat op ’n historiese poort geskoei is, som dus ’n handvol implementasies op eerder as die klas gedrag. Dit verouder ook sleg: sodra ’n verskaffer verstekwaardes verander, beskryf die lys die verlede.

Erger nog, ’n suksesvolle blok op een poort kan gelees word as bewys dat die hele probleem opgelos is, wat dan die kontroles vertraag wat saak sou maak.

Protokolnommers en poorte is verskillende naamruimtes

GRE kry IP-protokolnommer 47 toegewys. Dit is nie TCP-poort 47 en nie UDP-poort 47 nie, en ’n filter wat vir ’n poort geskryf is, raak dit nie. ESP en AH sit op protokolnommers 50 en 51 met dieselfde eienskap. Ingekapselde verkeer kan hom ook in ’n toegelate verbinding wegsteek, en daarom kan ’n kategorie of handtekening help maar nooit die doel op sigself sertifiseer nie. Vertroue en dekking hoort by ’n spesifieke produk en weergawe, nie by die konsep nie.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Die eerste opdrag wys wat jy werklik geskryf het; die tweede wys die protokoltabel wat die stapel ken; die derde wys hoeveel sessies tans die webpoort gebruik. Nie een van hulle sê waarvoor daardie sessies is nie. TLS-onderskepping is ’n aparte besluit met sy eie koste vir vertroue, privaatheid en kliëntversoenbaarheid. Dit is nie ’n voorvereiste om ’n genoemde bestemming te weier nie, en dit is ook nie ’n waarborg dat tonnels herken word nie.

Beheer die bevoegdheid wat die toestel het

’n Toestel wat sy eie roetetabel en filtering kan verander, het vermoëns wat ’n gewone toepassing nie het nie. Toelating- en konfigurasiebestuur is wat daardie vermoë verwyder, en hulle werk ongeag watter poort die tonnel sou gebruik.

Dit beteken goedgekeurde aanhegsels kry hul verklaarde rol eerder as onbeperkte toestemming om vir ander toestelle deur te stuur, en dit beteken installasie- en netwerkbestuursregte is deel van die beleid eerder as ’n nagedagte.

Let op die vloei wat oorbly. Korreleer toestelidentiteit, toegewysde rol en vloeimetadata, en behandel klassifikasie as bewyse met grense eerder as ’n uitspraak.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

’n Langdurige versleutelde sessie of ’n groot greptelling is nie bewys van misbruik nie: rugsteun, ondersteuningsnutsgoed en werfskakels lyk dieselfde. Hou versameling beperk tot die ondersoek en bewaar wat jy vind onder die proses wat daaroor gaan.

Maak die uitsonderings uitdruklik

Elke omgewing het bestemmings wat bereikbaar moet bly vir opdaterings, verifikasie en herstel. Skryf hulle neer met ’n doel en ’n eienaar, en hersien hulle eerder as om hulle een onderbreking op ’n slag te ontdek.

Wanneer die besigheid werklik ’n breë eksterne diens toelaat, beoordeel die bevoegdheid wat daardie diens verskaf eerder as om aan te neem die bestemmingsetiket maak elke gebruik aanvaarbaar.

’n Uitsondering wat nie hersien is nie, is ’n gat met ’n kaartjienommer. ’n Uitsondering met ’n naam, ’n rede en ’n hersieningsdatum is ’n besluit.

Aanvaar met ’n geskrewe plan, nie ’n slagspreuk nie

Aanvaarding het twee helftes: die goedgekeurde werk slaag steeds, en die spesifieke verbode gevalle misluk onder ’n gemagtigde toets. Albei moet voor die verandering geskryf en daarna herhaal word.

Sluit eindpunt- en beleidsveranderinge by daardie hersiening in, want ’n roete wat op ’n skootrekenaar bygevoeg is, kan ’n filter ongedaan maak wat by die rand perfek gewerk het.

Die lewering is ’n geëiende uitgangsgrens met ’n bekende lys van oorblywende risiko. Om te beweer dat ’n paar geslote poorte ongemagtigde VPN-gebruik beëindig het, is nie dit nie.