Blokiranje VPN izlaza blokira adresu, a ne osobu

Neko doda izlaznu adresu VPN provajdera na listu zabrana i zloupotreba prestane na dan. Zatim korisnik koji slučajno koristi istog provajdera otvori tiket, i pokaže se da je pravilo šire nego što je iko opisao. Blokada je oduvijek bila odluka o adresi; problem je što je prodana kao odluka o identitetu. Razdvojite to dvoje prije nego napišete sljedeće pravilo.

Pravilo koje možete provesti tiče se izvorne adrese

Pravilo vatrozida podudara polje u paketu, a polje koje podudarate je izvorna adresa. To pravilo može pouzdano odbiti saobraćaj s te adrese, što je stvaran i koristan efekat. Ne može vam reći ko je poslao paket, koji je račun korišten ili da li je to ista osoba koja je izazvala jučerašnji problem. Napisati pravilo je lako; opisati šta ono dokazuje jeste mjesto gdje timovi griješe.

Ako je cilj zaustaviti određeno ponašanje, pravilo o adresi je tupo oruđe koje se jednostavno našlo pri ruci. Ako je cilj identifikovati korisnika, adresa je pogrešan dokaz, a autentifikacija u aplikaciji pravi. Odlučite koji cilj imate prije nego pravilo ode u produkciju.

Šta vam upit u registar zapravo govori

Upit u registar vraća dodijeljeni blok i kontakte registrovane za mrežu. Ne navodi usluge koje rade na svakoj adresi i ne govori vam koji je zakupac poslao zahtjev. Čak i mali registrovani blok može sadržavati nepovezane radne skupove različitih klijenata.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Razrješavanje imena izlaznog hosta daje adrese vraćene u tom trenutku, što je snimak, a ne popis. Proširivanje jednog odgovora na cijeli prefiks hostinga je zasebna odluka sa širim dometom, a ne potpunija verzija istih dokaza. Ako koristite održavani tok klasifikacije, njegova oznaka je nagađanje s poznatim greškama u oba smjera. To nije autentifikacija i nije popis ljudi.

Zaustavite se ako se predloženo pravilo opravdava samo upitom. Snimak nije odluka o obimu.

Dijeljeni izlazi i kolateralna šteta

Dijeljeni izlaz nosi mnogo korisnika, a zajednički adresni prostor znači da jedna javna adresa može predstavljati cijelu grupu pretplatnika. Blokiranje pogađa sve njih, uključujući one bez ikakve veze sa zloupotrebom. Proširivanje na okolni prefiks umnožava taj efekat i povećava šansu da bude zahvaćena nepovezana usluga. Kolateralna šteta nije sporedni efekat koji se kasnije bilježi; ona je dio definicije pravila.

Dokazi iz paketa imaju vlastite granice. Izvorna adresa u izolovanom SYN paketu može biti krivotvorena, pa paket ne utvrđuje ko je šta započeo. Stanje poluotvorene veze pokazuje da je rukovanje počelo, a ne da je druga strana kriva za refleksijski napad. Završena veza govori nešto drugačije od aplikacijskog zapisa, a autentifikovana sesija imenuje račun koji nijedno od njih ne imenuje.

Izaberite najuži obim koji politika dopušta i zapišite ko bi trebalo da bude pogođen greškom.

Dokazi koje treba zabilježiti i put nazad za korisnike

Svako pravilo o adresi treba da nosi zapažanje koje ga je opravdalo, datum, obim i tačku pregleda. Taj zapis je ono što sljedećoj osobi omogućava da smanji pravilo umjesto da nagađa zašto postoji. Bez njega privremena blokada postaje trajna infrastruktura.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Odlučite kako legitimni korisnik vraća pristup prije nego što primijenite blokadu, jer red za podršku nije plan oporavka. Put za žalbu, dokumentovan izuzetak ili drugačiji način pristupa djeluju; savjet da ljudi prestanu koristiti VPN ne djeluje. Uparite mrežno pravilo s kontrolama koje odgovaraju ponašanju: ograničenja brzine, strože dozvole računa ili provođenje unutar same usluge. Blokada VPN izlaza može smanjiti neželjeni saobraćaj bez pretvaranja da je imenik korisnika.

Simptom koji treba držati na oku je razlika između onoga što pravilo radi i onoga što ljudi vjeruju da radi. Blokada odbija adresu. Račun identifikuje korisnika. Držite te rečenice odvojeno u tiketu i sljedeće pravilo će biti lakše braniti.