Блокирането на изход на VPN блокира адрес, а не човек

Някой добавя изходния адрес на доставчик на VPN в списък за блокиране и злоупотребата спира за ден. После клиент, който случайно ползва същия доставчик, подава сигнал и се оказва, че правилото е по-широко, отколкото някой е описал. Блокирането винаги е било решение за адрес; проблемът е, че беше продадено като решение за самоличност. Разделете двете, преди да напишете следващото правило.

Правилото, което можете да наложите, е за адрес на източника

Правило на защитна стена съпоставя поле в пакета и полето, което съпоставяте, е адресът на източника. Това правило може надеждно да отказва трафик от този адрес, което е реален и полезен ефект. То не може да ви каже кой е изпратил пакета, какъв акаунт е ползван или дали това е същият човек, причинил вчерашния проблем. Писането на правилото е лесно; описването на това какво доказва то е мястото, където екипите грешат.

Ако целта е да се спре конкретно поведение, правилото за адрес е груб инструмент, който просто е под ръка. Ако целта е да се идентифицира потребител, адресът е грешното доказателство, а правилното е удостоверяването в приложението. Решете каква цел имате, преди правилото да влезе в експлоатация.

Какво всъщност ви казва справка в регистъра

Справката в регистъра връща разпределения блок и регистрираните контакти за дадена мрежа. Тя не изброява услугите, работещи на всеки адрес, и не ви казва кой наемател е изпратил заявката. Дори малък регистриран блок може да съдържа несвързани натоварвания на различни клиенти.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Резолвирането на име на хост за изход ви дава адресите, върнати в този момент, което е снимка, а не инвентар. Разширяването на един отговор към целия префикс на хостинга е отделно решение с по-широк обхват на въздействие, а не по-пълна версия на същото доказателство. Ако ползвате поддържан класификационен поток, етикетът му е предположение с известни грешки в двете посоки. Това не е удостоверяване и не е списък с хора.

Спрете, ако предложеното правило се оправдава само със справка. Снимката не е решение за обхват.

Споделени изходи и съпътстващи щети

Споделеният изход обслужва много потребители и споделено адресно пространство означава, че един публичен адрес може да представлява цяла група абонати. Блокирането му засяга всички тях, включително тези без връзка със злоупотребата. Разширяването към околния префикс умножава този ефект и увеличава шанса да бъде засегната несвързана услуга. Съпътстващата щета не е страничен ефект, който да отбележим по-късно; тя е част от дефиницията на правилото.

Доказателствата от пакети имат свои граници. Адрес на източника в изолиран SYN може да бъде подправен, така че пакетът не установява кой какво е започнал. Състоянието на полуотворена връзка показва, че ръкостискане е започнало, а не че отсрещната страна е виновна за отразяваща атака. Завършена връзка казва нещо различно от журнала на приложението, а удостоверена сесия назовава акаунт, който нито едно от двете не назовава.

Изберете най-тесния обхват, който политиката позволява, и запишете кой се очаква да бъде засегнат по грешка.

Доказателства за запис и път за връщане на потребителите

Всяко правило за адрес трябва да носи наблюдението, което го е оправдало, датата, обхвата и точка за преглед. Именно този запис позволява на следващия човек да стесни правилото, вместо да гадае защо съществува. Без него временното блокиране става постоянна инфраструктура.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Решете как законен потребител възстановява достъп, преди да внедрите блокирането, защото опашката за поддръжка не е план за възстановяване. Път за обжалване, документирано изключение или различен метод за достъп работят; съветът да се спре ползването на VPN не работи. Съчетайте мрежовото правило с контроли, подходящи за поведението: ограничения на скоростта, по-строги права на акаунта или налагане вътре в самата услуга. Блокирането на изход на VPN може да намали нежелания трафик, без да се представя за указател на потребители.

Симптомът, който трябва да държите пред очи, е разликата между това, което правилото прави, и това, което хората вярват, че прави. Блокирането отказва адрес. Акаунтът идентифицира потребител. Дръжте тези изречения отделно в сигнала и следващото правило ще бъде по-лесно за защита.