VPN çıxışını bloklamaq şəxsi deyil, ünvanı bloklayır

Kimsə VPN provayderinin çıxış ünvanını qadağan siyahısına əlavə edir və sui-istifadə bir günlük dayanır. Sonra həmin provayderdən istifadə edən müştəri müraciət açır və qayda təsəvvür ediləndən daha geniş olur. Blok həmişə ünvan qərarı olub; problem ondadır ki, o, şəxsiyyət qərarı kimi satılıb. Növbəti qaydanı yazmazdan əvvəl bu ikisini ayırın.

Tətbiq edə biləcəyiniz qayda mənbə ünvanı ilə bağlıdır

Firewall qaydası paketdəki sahə ilə uyğunlaşır və uyğunlaşdırdığınız sahə mənbə ünvanıdır. Bu qayda həmin ünvandan gələn trafiki etibarlı şəkildə rədd edə bilər, bu da real və faydalı təsirdir. Lakin o, paketi kimin göndərdiyini, hansı hesabdan istifadə edildiyini və ya dünənki problemi yaradanın eyni şəxs olub-olmadığını deyə bilməz. Qaydanı yazmaq asandır; onun nəyi sübut etdiyini təsvir etmək komandaların səhv etdiyi yerdir.

Məqsəd konkret davranışı dayandırmaqdırsa, ünvan qaydası sadəcə mövcud olan küt alətdir. Məqsəd istifadəçini müəyyən etməkdirsə, ünvan yanlış sübutdur və tətbiqin autentifikasiyası düzgün sübutdur. Qayda istehsala keçməzdən əvvəl hansı məqsədiniz olduğunu müəyyənləşdirin.

Qeydiyyat sorğusu sizə həqiqətən nə deyir

Qeydiyyat sorğusu şəbəkə üçün ayrılmış bloku və qeydə alınmış əlaqə şəxslərini qaytarır. O, hər ünvanda işləyən xidmətləri sadalamır və sorğunu hansı müştərinin göndərdiyini demir. Hətta kiçik qeydiyyat bloku müxtəlif müştərilərin bir-biri ilə əlaqəsiz iş yüklərini ehtiva edə bilər.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Çıxış host adını həll etmək sizə həmin anda qaytarılan ünvanları verir, bu isə inventar deyil, anlıq görüntüdür. Bir cavabı bütün hostinq prefiksinə genişləndirmək daha geniş təsir dairəsi olan ayrı bir qərardır, eyni sübutun daha tam versiyası deyil. İdarə olunan təsnifat lenti istifadə edirsinizsə, onun etiketi hər iki istiqamətdə məlum səhvləri olan təxmindir. Bu autentifikasiya deyil və insanların siyahısı deyil.

Təklif olunan qayda yalnız bir sorğu ilə əsaslandırılırsa, dayanın. Anlıq görüntü əhatə qərarı deyil.

Paylaşılan çıxışlar və yan zərər

Paylaşılan çıxış çoxlu istifadəçi daşıyır və paylaşılan ünvan məkanı bir ictimai ünvanın bütöv abunəçi qrupunu təmsil edə bilməsi deməkdir. Onu bloklamaq hamıya, o cümlədən sui-istifadə ilə heç bir əlaqəsi olmayanlara təsir edir. Ətraf prefiksə genişlənmə bu təsiri qat-qat artırır və əlaqəsiz bir xidmətin tutulma ehtimalını yüksəldir. Yan zərər sonra qeyd ediləcək yan effekt deyil; qaydanın tərifinin bir hissəsidir.

Paket sübutlarının öz məhdudiyyətləri var. Tək SYN paketindəki mənbə ünvanı saxtalaşdırıla bilər, ona görə paket kiminsə nəyisə başlatdığını təsdiqləmir. Yarı açıq bağlantı vəziyyəti əl sıxmanın başladığını göstərir, qarşı tərəfin əks etdirmə hücumunda günahkar olduğunu deyil. Bitmiş bağlantı tətbiq jurnalından fərqli bir şey deyir və autentifikasiya edilmiş sessiya heç birinin adlandırmadığı hesabı adlandırır.

Siyasətin icazə verdiyi ən dar əhatəni seçin və səhvən kimin tutulacağını yazın.

Qeyd ediləcək sübutlar və istifadəçilər üçün geri dönüş yolu

Hər ünvan qaydası onu əsaslandıran müşahidəni, tarixi, əhatə dairəsini və baxış nöqtəsini daşımalıdır. Bu qeyd növbəti şəxsin qaydanın niyə mövcud olduğunu təxmin etmək əvəzinə onu kiçiltməsinə imkan verir. Bu olmadan müvəqqəti blok daimi infrastruktura çevrilir.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Bloku yerləşdirməzdən əvvəl qanuni istifadəçinin girişi necə bərpa edəcəyini qərarlaşdırın, çünki dəstək növbəsi bərpa planı deyil. Apellyasiya yolu, sənədləşdirilmiş istisna və ya fərqli giriş üsulu işləyir; insanlara VPN-dən istifadəni dayandırmağı demək işləmir. Şəbəkə qaydasını davranışa uyğun nəzarətlərlə birləşdirin: sürət limitləri, daha sərt hesab icazələri və ya xidmətin özü daxilində tətbiq. VPN çıxış bloku özünü istifadəçi kataloqu kimi təqdim etmədən arzuolunmaz trafiki azalda bilər.

Nəzərdə tutmalı olduğunuz simptom qaydanın nə etdiyi ilə insanların onun nə etdiyinə inandığı arasındakı fərqdir. Blok ünvanı rədd edir. Hesab istifadəçini müəyyən edir. Bu cümlələri müraciətdə ayrı saxlayın və növbəti qaydanı müdafiə etmək daha asan olacaq.