Защо блокирането на VPN портове не спира неоторизираните тунели

Правило на защитната стена отказва трафика, който съответства на него. То не отказва всяко използване на връзка, която разрешава, и именно в тази празнина се провалят повечето политики срещу неоторизирани тунели. Блокирането на портовете на клиента, който е бил популярен преди пет години, оставя незасегнато всичко, което минава през 443, и не казва нищо за устройство, което може да пренапише собствените си маршрути. Изградете контрола около правомощията и дестинациите, а след това четете потоците, които наистина разрешавате.

Защо списъкът с портове не е политика

Портовете са понятие на транспортния слой и няколко тунелни технологии изобщо не ги използват. Други умишлено споделят порт с обикновения уеб трафик, защото този порт е този, който гарантирано преминава. Правило, изградено върху исторически порт, следователно изброява шепа реализации, а не класа на поведението. То също остарява лошо: в момента, в който доставчик промени стойностите по подразбиране, списъкът описва миналото.

Още по-лошо, успешното блокиране на един порт може да се прочете като доказателство, че целият проблем е решен, което след това забавя контролите, които биха имали значение.

Номерата на протоколите и портовете са различни пространства от имена

На GRE е присвоен номер на IP протокол 47. Това не е TCP порт 47 и не е UDP порт 47, и филтър, написан за порт, не го засяга. ESP и AH се намират на номера на протоколи 50 и 51 със същото свойство. Инкапсулираният трафик може също да се скрие вътре в разрешена връзка, поради което категория или подпис може да помогне, но никога не удостоверява целта сам по себе си. Доверието и покритието принадлежат на конкретен продукт и издание, а не на концепцията.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Първата команда показва какво наистина сте написали; втората показва таблицата на протоколите, която стекът познава; третата показва колко сесии използват уеб порта в момента. Нито една от тях не казва за какво служат тези сесии. Прихващането на TLS е отделно решение със собствени разходи за доверие, поверителност и съвместимост с клиентите. То не е предпоставка за отказване на посочена дестинация и не е и гаранция за разпознаване на тунели.

Управлявайте правомощията, които устройството има

Устройство, което може да промени собствената си таблица за маршрутизация и филтриране, има възможности, каквито обикновено приложение няма. Управлението на допускането и конфигурацията е това, което премахва тази възможност, и то действа независимо кой порт би използвал тунелът.

Това означава, че одобрените прикачени устройства получават обявената си роля вместо неограничено разрешение да препращат за други устройства, и означава, че правата за инсталиране и мрежова администрация са част от политиката, а не последваща мисъл.

Наблюдавайте потоците, които остават. Корелирайте идентичността на устройството, зададената роля и метаданните на потока и третирайте класификацията като доказателство с ограничения, а не като присъда.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Дълготрайна криптирана сесия или голям брой байтове не е доказателство за злоупотреба: резервните копия, инструментите за поддръжка и връзките между обекти изглеждат еднакво. Ограничете събирането до разследването и запазете намереното под процеса, който го притежава.

Направете изключенията явни

Всяка среда има дестинации, които трябва да останат достъпни за актуализации, удостоверяване и възстановяване. Запишете ги с цел и отговорник и ги преглеждайте, вместо да ги откривате едно прекъсване след друго.

Когато бизнесът наистина разрешава широка външна услуга, оценете правомощията, които тази услуга предоставя, вместо да предполагате, че етикетът на дестинацията прави всяко използване приемливо.

Непроверено изключение е дупка с номер на заявка. Изключение с име, причина и дата на преглед е решение.

Приемете с писмен план, а не с лозунг

Приемането има две половини: одобрената работа все още успява, а конкретните забранени случаи се провалят при оторизиран тест. И двете трябва да бъдат написани преди промяната и повторени след нея.

Включете промените на крайни точки и политика в този преглед, защото маршрут, добавен на лаптоп, може да отмени филтър, който е работил безупречно в края.

Резултатът е собствена изходна граница с известен списък на остатъчния риск. Твърдението, че няколко затворени порта са прекратили неоторизираното използване на VPN, не е това.