Zašto blokiranje VPN portova ne zaustavlja neovlaštene tunele

Pravilo vatrozida odbija promet na koji se odnosi. Ono ne odbija svaku upotrebu veze koju dopušta, i upravo u toj praznini propada većina politika protiv neovlaštenih tunela. Blokiranje portova klijenta koji je bio popularan prije pet godina ostavlja netaknutim sve što ide preko 443, i ne govori ništa o uređaju koji može prepisati vlastite rute. Izgradite kontrolu oko ovlasti i odredišta, a zatim čitajte tokove koje doista dopuštate.

Zašto popis portova nije politika

Portovi su koncept transportnog sloja, a nekoliko tehnologija tunela uopće ih ne koristi. Drugi namjerno dijele port s običnim web prometom jer je taj port onaj koji zajamčeno prolazi. Pravilo vezano uz povijesni port stoga nabraja nekolicinu implementacija umjesto klase ponašanja. Loše stari i ono: u trenutku kada pružatelj promijeni zadane vrijednosti, popis opisuje prošlost.

Još gore, uspješna blokada na jednom portu može se shvatiti kao dokaz da je cijeli problem riješen, što onda odgađa kontrole koje bi bile važne.

Brojevi protokola i portovi različiti su imenski prostori

GRE-u je dodijeljen IP broj protokola 47. To nije TCP port 47 ni UDP port 47, i filtar napisan za port ne dira ga. ESP i AH nalaze se na brojevima protokola 50 i 51 s istim svojstvom. Enkapsulirani promet može se sakriti i unutar dopuštene veze, zato kategorija ili potpis može pomoći, ali nikada sam po sebi ne potvrđuje svrhu. Pouzdanost i pokrivenost pripadaju određenom proizvodu i izdanju, a ne konceptu.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Prva naredba pokazuje što ste doista napisali; druga pokazuje tablicu protokola koju stog poznaje; treća pokazuje koliko sesija upravo sada koristi web port. Nijedna od njih ne kaže čemu te sesije služe. Presretanje TLS-a zasebna je odluka s vlastitim troškovima povjerenja, privatnosti i kompatibilnosti s klijentima. Ono nije preduvjet za odbijanje imenovanog odredišta, a nije ni jamstvo prepoznavanja tunela.

Kontrolirajte ovlast koju uređaj ima

Uređaj koji može promijeniti vlastitu tablicu usmjeravanja i filtriranje ima mogućnosti koje obična aplikacija nema. Upravljanje prijemom i konfiguracijom ono je što uklanja tu mogućnost, i djeluje neovisno o tome koji bi port tunel koristio.

To znači da odobreni priključci dobivaju svoju deklariranu ulogu umjesto neograničenog dopuštenja za prosljeđivanje za druge uređaje, i znači da su prava instalacije i mrežne administracije dio politike umjesto naknadna misao.

Promatrajte tokove koji ostaju. Povežite identitet uređaja, dodijeljenu ulogu i metapodatke toka, i tretirajte klasifikaciju kao dokaz s ograničenjima, a ne kao presudu.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Dugotrajna šifrirana sesija ili velik broj bajtova nije dokaz zlouporabe: sigurnosne kopije, alat za podršku i veze između lokacija izgledaju isto. Ograničite prikupljanje na istragu i sačuvajte ono što pronađete u okviru procesa koji to posjeduje.

Učinite iznimke eksplicitnima

Svako okruženje ima odredišta koja moraju ostati dostupna za ažuriranja, provjeru identiteta i oporavak. Zapišite ih sa svrhom i vlasnikom, i pregledavajte ih umjesto da ih otkrivate jedan prekid po jedan.

Kada tvrtka doista dopušta široku vanjsku uslugu, procijenite ovlast koju ta usluga pruža umjesto da pretpostavite da oznaka odredišta čini svaku upotrebu prihvatljivom.

Nepregledana iznimka je rupa s brojem zahtjeva. Iznimka s imenom, razlogom i datumom pregleda je odluka.

Prihvatite s napisanim planom, a ne sa sloganom

Prihvaćanje ima dvije polovice: odobreni posao i dalje uspijeva, a konkretni zabranjeni slučajevi padaju na ovlaštenom testu. Oboje treba napisati prije promjene i ponoviti nakon nje.

Uključite promjene krajnjih točaka i politike u taj pregled, jer ruta dodana na prijenosnom računalu može poništiti filtar koji je savršeno radio na rubu.

Rezultat je vlastita izlazna granica s poznatim popisom preostalog rizika. Tvrdnja da je nekoliko zatvorenih portova okončalo neovlaštenu upotrebu VPN-a nije to.