VPN portlarını bloklamaq icazəsiz tunelləri niyə dayandırmır

Firewall qaydası uyğun gəldiyi trafiki rədd edir. O, icazə verdiyi bağlantının hər istifadəsini rədd etmir və icazəsiz tunellərə qarşı siyasətlərin əksəriyyəti məhz bu boşluqda uğursuz olur. Beş il əvvəl populyar olan müştərinin portlarını bloklamaq 443-dən keçən hər şeyi toxunulmaz qoyur və öz marşrutlarını yenidən yaza bilən cihaz haqqında heç nə demir. Nəzarəti səlahiyyət və təyinatlar ətrafında qurun, sonra həqiqətən icazə verdiyiniz axınları oxuyun.

Port siyahısı niyə siyasət deyil

Portlar nəqliyyat qatının anlayışıdır və bir neçə tunel texnologiyası onlardan ümumiyyətlə istifadə etmir. Digərləri adi veb trafiklə portu qəsdən paylaşır, çünki həmin port keçməsi zəmanətli olandır. Buna görə tarixi porta əsaslanan qayda davranış sinfini deyil, bir neçə tətbiqi sadalayır. O, həm də tez köhnəlir: provayder standart dəyərləri dəyişdiyi anda siyahı keçmişi təsvir edir.

Daha pisi, bir portun uğurlu bloklanması bütün problemin həll olunduğuna dair sübut kimi oxuna bilər və bu, əhəmiyyətli olacaq nəzarətləri gecikdirir.

Protokol nömrələri və portlar fərqli ad məkanlarıdır

GRE-yə IP protokol nömrəsi 47 verilir. Bu TCP portu 47 deyil və UDP portu 47 deyil, porta görə yazılmış filtr ona toxunmur. ESP və AH eyni xüsusiyyətlə 50 və 51 protokol nömrələrində yerləşir. Kapsullənmiş trafik icazə verilmiş bağlantının içində də gizlənə bilər, buna görə kateqoriya və ya imza kömək edə bilər, lakin heç vaxt tək başına məqsədi təsdiqləmir. Etibar və əhatə konkret məhsul və buraxılışa aiddir, konsepsiyaya deyil.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Birinci əmr həqiqətən nə yazdığınızı göstərir; ikinci stekin bildiyi protokol cədvəlini göstərir; üçüncü hazırda neçə sessiyanın veb portundan istifadə etdiyini göstərir. Onların heç biri o sessiyaların nə üçün olduğunu demir. TLS-in tutulması etibar, məxfilik və müştəri uyğunluğu üzrə öz xərcləri olan ayrı bir qərardır. Bu, adlandırılmış təyinatı rədd etmək üçün ilkin şərt deyil və tunellərin tanınmasına zəmanət də deyil.

Cihazın malik olduğu səlahiyyəti idarə edin

Öz marşrutlaşdırma cədvəlini və filtrləməsini dəyişə bilən cihaz adi tətbiqin malik olmadığı imkanlara malikdir. Qəbul və konfiqurasiya idarəçiliyi məhz bu imkanı aradan qaldırır və tunelin hansı portdan istifadə edəcəyindən asılı olmayaraq işləyir.

Bu o deməkdir ki, təsdiqlənmiş qoşulmalar digər cihazlar üçün yönləndirməyə qeyri-məhdud icazə əvəzinə öz bəyan edilmiş rolunu alır və bu o deməkdir ki, quraşdırma və şəbəkə inzibatçılığı hüquqları siyasətin bir hissəsidir, sonradan düşünülən deyil.

Qalan axınları müşahidə edin. Cihaz kimliyini, təyin edilmiş rolu və axın metadatasını əlaqələndirin və təsnifatı hökm deyil, məhdudiyyətləri olan sübut kimi qəbul edin.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Uzunmüddətli şifrələnmiş sessiya və ya böyük bayt sayı sui-istifadənin sübutu deyil: ehtiyat nüsxələr, dəstək alətləri və saytlar arası əlaqələr eyni görünür. Toplamanı araşdırma ilə məhdudlaşdırın və tapdıqlarınızı ona sahib olan prosesin altında saxlayın.

İstisnaları açıq edin

Hər mühitdə yeniləmələr, autentifikasiya və bərpa üçün əlçatan qalmalı təyinatlar var. Onları məqsəd və məsul şəxslə birlikdə yazın və hər nasazlıqda kəşf etmək əvəzinə nəzərdən keçirin.

Biznes həqiqətən geniş xarici xidmətə icazə verdikdə, təyinat etiketinin hər istifadəni məqbul etdiyini güman etmək əvəzinə həmin xidmətin verdiyi səlahiyyəti qiymətləndirin.

Nəzərdən keçirilməmiş istisna bilet nömrəsi olan deşikdir. Adı, səbəbi və baxış tarixi olan istisna bir qərardır.

Şüar deyil, yazılı planla qəbul edin

Qəbulun iki yarısı var: təsdiqlənmiş iş hələ də uğurlu olur və konkret qadağan edilmiş hallar səlahiyyətli testdə uğursuz olur. Hər ikisi dəyişiklikdən əvvəl yazılmalı və sonra təkrarlanmalıdır.

Həmin baxışa son nöqtə və siyasət dəyişikliklərini daxil edin, çünki noutbukda əlavə edilmiş marşrut kənarda mükəmməl işləyən filtri ləğv edə bilər.

Nəticə qalıq riskin məlum siyahısı ilə birlikdə sahibi olan çıxış sərhədidir. Bir neçə bağlı portun icazəsiz VPN istifadəsini bitirdiyini iddia etmək bu deyil.