Блакіроўка выхаду VPN блакіруе адрас, а не чалавека

Нехта дадае адрас выхаду пастаўшчыка VPN у спіс забароненых, і злоўжыванне спыняецца на дзень. Потым кліент, які выпадкова карыстаецца тым жа пастаўшчыком, адкрывае зварот, і аказваецца, што правіла шырэйшае, чым хто-небудзь апісваў. Блакіроўка заўсёды была рашэннем пра адрас; праблема ў тым, што яе прадалі як рашэнне пра асобу. Аддзяліце адно ад другога, перш чым пісаць наступнае правіла.

Правіла, якое вы можаце выканаць, датычыцца адрасу крыніцы

Правіла міжсеткавага экрана супастаўляе поле ў пакеце, і поле, якое вы супастаўляеце, — гэта адрас крыніцы. Гэта правіла можа надзейна адхіляць трафік з такога адрасу, і гэта рэальны і карысны эфект. Яно не можа сказаць, хто даслаў пакет, якім уліковым запісам карысталіся ці ці той самы чалавек стварыў учорашнюю праблему. Напісаць правіла лёгка; апісаць, што яно даказвае, — вось дзе каманды памыляюцца.

Калі мэта — спыніць пэўныя паводзіны, правіла для адрасу — гэта грубы інструмент, які проста аказаўся пад рукой. Калі мэта — вызначыць карыстальніка, адрас — гэта няправільны доказ, а правільны — аўтэнтыфікацыя ў праграме. Вызначцеся з мэтай, перш чым правіла трапіць у працу.

Што насамрэч кажа запыт да рэестра

Запыт да рэестра вяртае выдзелены блок і кантакты, зарэгістраваныя для сеткі. Ён не пералічвае сэрвісы, якія працуюць на кожным адрасе, і не кажа, які кліент даслаў запыт. Нават невялікі зарэгістраваны блок можа змяшчаць незвязаныя нагрузкі розных кліентаў.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Развязанне імя хоста выхаду дае вам адрасы, вернутыя ў той момант, гэта здымак, а не інвентар. Пашырэнне аднаго адказу на ўвесь прэфікс хостынгу — асобнае рашэнне з шырэйшым уплывам, а не паўнейшая версія тых жа доказаў. Калі вы карыстаецеся падтрымліваным каналам класіфікацыі, яго пазнака — здагадка з вядомымі памылкамі ў абодва бакі. Гэта не аўтэнтыфікацыя і не спіс людзей.

Спыніцеся, калі прапанаванае правіла апраўданае толькі запытам. Здымак — не рашэнне пра абсяг.

Агульныя выхады і спадарожная шкода

Агульны выхад абслугоўвае шмат карыстальнікаў, і агульная адрасная прастора азначае, што адзін публічны адрас можа прадстаўляць цэлую групу абанентаў. Яго блакіроўка закранае ўсіх, уключна з тымі, хто не мае дачынення да злоўжывання. Пашырэнне на суседні прэфікс памнажае гэты эфект і павялічвае шанц закрануць незвязаны сэрвіс. Спадарожная шкода — не пабочны эфект, які адзначыць пазней; гэта частка вызначэння правіла.

Доказы з пакетаў маюць свае межы. Адрас крыніцы ў адзіночным SYN можна падмануць, таму пакет не ўстанаўлівае, хто што пачаў. Стан паўадкрытага злучэння паказвае, што рукапоціск пачаўся, а не што партнёр вінаваты ў адлюстраванай атацы. Завершанае злучэнне кажа іншае, чым журнал праграмы, а аўтэнтыфікаваная сесія называе ўліковы запіс, якога не называе ні адно з іх.

Выберыце самы вузкі абсяг, які дазваляе палітыка, і запішыце, каго чакаецца закрануць памылкова.

Доказы, якія варта запісаць, і шлях вяртання для карыстальнікаў

Кожнае правіла для адрасу павінна несці назіранне, якое яго апраўдала, дату, абсяг і пункт перагляду. Менавіта гэты запіс дазваляе наступнаму чалавеку звузіць правіла, а не здагадвацца, навошта яно існуе. Без яго часовая блакіроўка становіцца пастаяннай інфраструктурай.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Вырашыце, як законны карыстальнік верне доступ, перш чым уводзіць блакіроўку, бо чарга падтрымкі — не план аднаўлення. Шлях абскарджання, дакументаванае выключэнне ці іншы спосаб доступу працуюць; парада спыніць карыстацца VPN — не працуе. Спалучыце сеткавае правіла з кантролем, які адпавядае паводзінам: абмежаванні хуткасці, больш строгія правы ўліковага запісу ці выкананне ўнутры самога сэрвісу. Блакіроўка выхаду VPN можа паменшыць непажаданы трафік, не выдаючы сябе за каталог карыстальнікаў.

Сімптом, які трэба трымаць у полі зроку, — гэта разрыў паміж тым, што робіць правіла, і тым, што людзі думаюць, што яно робіць. Блакіроўка адхіляе адрас. Уліковы запіс вызначае карыстальніка. Трымайце гэтыя сказы асобна ў звароце, і наступнае правіла будзе прасцей абараніць.