Bloquejar una sortida VPN bloqueja una adreça, no una persona

Algú afegeix l’adreça de sortida d’un proveïdor de VPN a una llista de denegació, i l’abús s’atura durant un dia. Després, un client que casualment fa servir el mateix proveïdor obre un tiquet, i la regla resulta ser més àmplia del que ningú havia descrit. El bloqueig sempre havia estat una decisió sobre una adreça; el problema és que es va vendre com una decisió sobre una identitat. Separeu les dues coses abans d’escriure la regla següent.

La regla que podeu aplicar tracta d’una adreça d’origen

Una regla de tallafocs coincideix amb un camp del paquet, i el camp que coincideix és l’adreça d’origen. Aquesta regla pot rebutjar de manera fiable el trànsit d’aquesta adreça, cosa que és un efecte real i útil. No us pot dir qui va enviar el paquet, quin compte es va fer servir ni si és la mateixa persona que va causar el problema d’ahir. Escriure la regla és fàcil; descriure què demostra és on els equips s’equivoquen.

Si l’objectiu és aturar un comportament concret, una regla d’adreça és un instrument contundent que resulta que és a mà. Si l’objectiu és identificar un usuari, l’adreça és la prova equivocada i l’autenticació de l’aplicació és la correcta. Decidiu quin objectiu teniu abans que la regla entri en producció.

Què us diu realment una consulta al registre

Una consulta al registre retorna l’assignació i els contactes registrats per a una xarxa. No llista els serveis que s’executen a cada adreça ni us diu quin inquilí va enviar una petició. Fins i tot un bloc registrat petit pot contenir càrregues de treball no relacionades de clients diferents.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Resoldre un nom d’amfitrió de sortida us dona les adreces retornades en aquell moment, que és una instantània i no un inventari. Ampliar una resposta a tot el prefix d’allotjament és una decisió separada amb un radi d’impacte més ampli, no una versió més completa de la mateixa prova. Si feu servir un flux de classificació mantingut, la seva etiqueta és una conjectura amb errors coneguts en les dues direccions. No és autenticació i no és una llista de persones.

Atureu-vos si la regla proposada només es justifica amb una consulta. Una instantània no és una decisió d’abast.

Sortides compartides i danys col·laterals

Una sortida compartida porta molts usuaris, i espai d’adreces compartit vol dir que una adreça pública pot representar tot un grup de subscriptors. Bloquejar-la els afecta tots, inclosos els que no tenen cap relació amb l’abús. Ampliar-ho al prefix del voltant multiplica aquest efecte i augmenta la possibilitat que un servei no relacionat quedi atrapat. El dany col·lateral no és un efecte secundari que s’anoti més tard; forma part de la definició de la regla.

Les proves de paquets tenen els seus propis límits. Una adreça d’origen en un SYN aïllat es pot falsificar, així que el paquet no estableix qui va iniciar res. Un estat de connexió mig obert mostra que un intercanvi de salutacions va començar, no que l’altra part sigui culpable d’un atac de reflexió. Una connexió acabada diu una cosa diferent d’un registre d’aplicació, i una sessió autenticada nomena un compte que cap dels dos no nomena.

Trieu l’abast més estret que permeti la política i anoteu qui s’espera que quedi atrapat per error.

Proves que cal enregistrar i una via de retorn per als usuaris

Cada regla d’adreça hauria de portar l’observació que la va justificar, la data, l’abast i un punt de revisió. Aquest registre és el que permet a la persona següent reduir la regla en lloc d’endevinar per què existeix. Sense això, un bloqueig temporal es converteix en infraestructura permanent.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Decidiu com un usuari legítim recupera l’accés abans de desplegar el bloqueig, perquè una cua de suport no és un pla de recuperació. Una via de recurs, una excepció documentada o un mètode d’accés diferent funcionen; dir a la gent que deixi de fer servir la VPN no funciona. Combineu la regla de xarxa amb controls que encaixin amb el comportament: límits de velocitat, permisos de compte més estrictes o aplicació dins del mateix servei. Un bloqueig de sortida VPN pot reduir el trànsit no desitjat sense pretendre ser un directori d’usuaris.

El símptoma que cal tenir a la vista és la distància entre el que fa la regla i el que la gent creu que fa. Un bloqueig rebutja una adreça. Un compte identifica un usuari. Manteniu aquestes frases separades al tiquet i la regla següent serà més fàcil de defensar.