Чаму блакаванне портаў VPN не спыняе несанкцыянаваныя тунэлі

Правіла міжсеткавага экрана адхіляе трафік, якому яно адпавядае. Яно не адхіляе кожнае выкарыстанне злучэння, якое дазваляе, і менавіта ў гэтай прагаліне церпіць няўдачу большасць палітык супраць несанкцыянаваных тунэляў. Блакаванне портаў кліента, папулярнага пяць гадоў таму, пакідае некранутым усё, што ідзе праз 443, і нічога не кажа пра прыладу, здольную перапісаць уласныя маршруты. Будуйце кантроль вакол паўнамоцтваў і прызначэнняў, а затым чытайце патокі, якія вы сапраўды дазваляеце.

Чаму спіс портаў — не палітыка

Порты — паняцце транспартнага ўзроўню, і некалькі тунэльных тэхналогій увогуле іх не выкарыстоўваюць. Іншыя наўмысна дзеляць порт са звычайным вэб-трафікам, бо менавіта гэты порт гарантавана прапускаюць. Правіла, прывязанае да гістарычнага порта, таму пералічвае жменьку рэалізацый, а не клас паводзін. Яно і старэе дрэнна: у той момант, калі правайдэр змяняе значэнні па змаўчанні, спіс апісвае мінулае.

Горш за тое, паспяховае блакаванне аднаго порта можна прачытаць як доказ, што ўся праблема вырашана, і гэта адкладвае сродкі кантролю, якія мелі б значэнне.

Нумары пратаколаў і порты — розныя прасторы імёнаў

GRE прызначаны нумар пратаколу IP 47. Гэта не TCP-порт 47 і не UDP-порт 47, і фільтр, напісаны для порта, яго не закранае. ESP і AH знаходзяцца на нумарах пратаколаў 50 і 51 з той жа ўласцівасцю. Інкапсуляваны трафік можа таксама хавацца ўнутры дазволенага злучэння, таму катэгорыя або подпіс можа дапамагчы, але ніколі сама па сабе не пацвярджае мэту. Упэўненасць і ахоп належаць канкрэтнаму прадукту і выпуску, а не канцэпцыі.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Першая каманда паказвае, што вы сапраўды напісалі; другая паказвае табліцу пратаколаў, якую ведае стэк; трэцяя паказвае, колькі сеансаў выкарыстоўваюць вэб-порт прама зараз. Ні адна з іх не кажа, для чаго гэтыя сеансы. Перахоп TLS — асобнае рашэнне з уласнымі выдаткамі на давер, прыватнасць і сумяшчальнасць з кліентамі. Гэта не папярэдняя ўмова для адмовы ў названым прызначэнні і не гарантыя распазнавання тунэляў.

Кіруйце паўнамоцтвамі, якія мае прылада

Прылада, здольная змяніць уласную табліцу маршрутызацыі і фільтраванне, мае магчымасці, якіх звычайнае прыкладанне не мае. Кіраванне допускам і канфігурацыяй — гэта тое, што ліквідуе такую магчымасць, і яно дзейнічае незалежна ад таго, які порт выкарыстаў бы тунэль.

Гэта значыць, што ўхваленыя падключэнні атрымліваюць заяўленую ролю замест неабмежаванага дазволу перасылаць за іншыя прылады, і значыць, што правы на ўсталяванне і адміністраванне сеткі з’яўляюцца часткай палітыкі, а не запозненай думкай.

Назірайце за патокамі, якія застаюцца. Супастаўляйце ідэнтычнасць прылады, прызначаную ролю і метаданыя патоку, і стаўцеся да класіфікацыі як да доказу з абмежаваннямі, а не як да прысуду.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Доўгатэрміновы зашыфраваны сеанс або вялікі аб’ём байтаў не з’яўляецца доказам злоўжывання: рэзервовыя копіі, інструменты падтрымкі і сувязі паміж пляцоўкамі выглядаюць аднолькава. Абмяжуйце збор рамкамі расследавання і захоўвайце знойдзенае ў межах працэсу, якому яно належыць.

Зрабіце выключэнні яўнымі

У любым асяроддзі ёсць прызначэнні, якія павінны заставацца даступнымі для абнаўленняў, аўтэнтыфікацыі і аднаўлення. Запішыце іх з мэтай і адказным і пераглядайце, замест таго каб выяўляць іх па адным збоі за раз.

Калі бізнес сапраўды дазваляе шырокі знешні сэрвіс, ацэньвайце паўнамоцтвы, якія гэты сэрвіс дае, а не мяркуйце, што ярлык прызначэння робіць любое выкарыстанне прымальным.

Неперагледжанае выключэнне — гэта дзірка з нумарам заяўкі. Выключэнне з іменем, прычынай і датай перагляду — гэта рашэнне.

Прымайце з пісьмовым планам, а не з лозунгам

Прыёмка мае дзве паловы: ухваленая праца ўсё яшчэ выконваецца, а канкрэтныя забароненыя выпадкі церпяць няўдачу ў аўтарызаваным тэсце. Абедзве трэба запісаць да змены і паўтарыць пасля яе.

Уключыце ў гэты перагляд змены канчатковых кропак і палітыкі, бо маршрут, дададзены на ноўтбуку, можа адмяніць фільтр, які бездакорна працаваў на перыферыі.

Вынік — уласная мяжа выхаду з вядомым спісам рэшткавай рызыкі. Сцвярджэнне, што некалькі закрытых портаў паклалі канец несанкцыянаванаму выкарыстанню VPN, — гэта не яно.