Per què bloquejar els ports de VPN no atura els túnels no autoritzats

Una regla de tallafocs denega el trànsit amb què coincideix. No denega tots els usos d’una connexió que permet, i aquesta llacuna és on fallen la majoria de polítiques contra túnels no autoritzats. Bloquejar els ports del client que fos popular fa cinc anys deixa intacte tot el que viatja pel 443, i no diu res sobre un dispositiu que pot reescriure les seves pròpies rutes. Construïu el control al voltant de l’autoritat i les destinacions, i després llegiu els fluxos que realment permeteu.

Per què una llista de ports no és una política

Els ports són un concepte de la capa de transport, i diverses tecnologies de túnel no n’utilitzen cap. Altres comparteixen deliberadament un port amb el trànsit web ordinari perquè aquest port és el que té garantit el pas. Una regla basada en un port històric enumera, per tant, un grapat d’implementacions en lloc de la classe de comportament. També envelleix malament: en el moment que un proveïdor canvia els valors per defecte, la llista descriu el passat.

Pitjor encara, un bloqueig reeixit en un port es pot llegir com a prova que tot el problema està resolt, cosa que alenteix els controls que sí que haurien importat.

Els números de protocol i els ports són espais de noms diferents

A GRE se li assigna el número de protocol IP 47. No és el port TCP 47 ni el port UDP 47, i un filtre escrit per a un port no el toca. ESP i AH ocupen els números de protocol 50 i 51 amb la mateixa propietat. El trànsit encapsulat també es pot amagar dins d’una connexió permesa, per això una categoria o signatura pot ajudar, però mai certifica el propòsit per si sola. La confiança i la cobertura pertanyen a un producte i una versió concrets, no al concepte.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

La primera ordre mostra què heu escrit realment; la segona mostra la taula de protocols que coneix la pila; la tercera mostra quantes sessions estan fent servir el port web ara mateix. Cap d’elles no diu per a què serveixen aquestes sessions. La intercepció de TLS és una decisió a part amb els seus propis costos de confiança, privadesa i compatibilitat amb els clients. No és un requisit previ per denegar una destinació amb nom, i tampoc no és una garantia de reconeixement de túnels.

Controleu l’autoritat que té el dispositiu

Un dispositiu que pot canviar la seva pròpia taula d’encaminament i el seu filtratge té capacitats que una aplicació ordinària no té. La gestió d’admissió i de configuració és el que elimina aquesta capacitat, i actua amb independència del port que faria servir el túnel.

Això vol dir que els adjunts aprovats reben el seu rol declarat en lloc de permís sense restriccions per reenviar per altres dispositius, i vol dir que els drets d’instal·lació i d’administració de xarxa formen part de la política en lloc de ser un afegit.

Observeu els fluxos que queden. Correlacioneu la identitat del dispositiu, el rol assignat i les metadades del flux, i tracteu la classificació com a evidència amb límits en lloc de com a veredicte.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Una sessió xifrada de llarga durada o un gran recompte de bytes no són prova d’ús indegut: les còpies de seguretat, les eines de suport i els enllaços entre seus es veuen igual. Mantingueu la recollida limitada a la investigació i conserveu el que trobeu sota el procés que en té la propietat.

Feu explícites les excepcions

Cada entorn té destinacions que han de romandre accessibles per a actualitzacions, autenticació i recuperació. Anoteu-les amb un propòsit i un responsable, i reviseu-les en lloc de descobrir-les una caiguda rere l’altra.

Quan el negoci permet de veritat un servei extern ampli, avalueu l’autoritat que aquell servei proporciona en lloc de suposar que l’etiqueta de la destinació fa acceptable qualsevol ús.

Una excepció no revisada és un forat amb un número de tiquet. Una excepció amb un nom, un motiu i una data de revisió és una decisió.

Accepteu amb un pla escrit, no amb un eslògan

L’acceptació té dues meitats: la feina aprovada continua tenint èxit, i els casos prohibits concrets fallen en una prova autoritzada. Totes dues s’han d’escriure abans del canvi i repetir després.

Incloeu els canvis de punt final i de política en aquesta revisió, perquè una ruta afegida en un portàtil pot desfer un filtre que funcionava perfectament a la vora.

El lliurable és un límit de sortida amb propietari i una llista coneguda de risc restant. Afirmar que uns quants ports tancats van acabar amb l’ús no autoritzat de VPN no és això.