Blokování výstupu VPN blokuje adresu, ne člověka

Někdo přidá výstupní adresu poskytovatele VPN na seznam zákazů a zneužívání se na den zastaví. Pak zákazník, který náhodou používá stejného poskytovatele, otevře tiket a ukáže se, že pravidlo je širší, než kdokoli popsal. Blokace byla vždy rozhodnutím o adrese; problém je, že se prodávala jako rozhodnutí o identitě. Oddělte obojí, než napíšete další pravidlo.

Pravidlo, které můžete vynutit, se týká zdrojové adresy

Pravidlo firewallu odpovídá poli v paketu a polem, které porovnáváte, je zdrojová adresa. Takové pravidlo dokáže spolehlivě odmítnout provoz z této adresy, což je skutečný a užitečný účinek. Nedokáže vám však říct, kdo paket poslal, jaký účet byl použit nebo zda jde o stejnou osobu, která způsobila včerejší problém. Napsat pravidlo je snadné; popsat, co dokazuje, je místo, kde týmy chybují.

Jestliže je cílem zastavit konkrétní chování, je adresní pravidlo tupý nástroj, který zrovna byl po ruce. Jestliže je cílem identifikovat uživatele, je adresa špatným důkazem a správným je autentizace v aplikaci. Rozhodněte se, který cíl máte, než pravidlo půjde do provozu.

Co vám vyhledání v registru skutečně řekne

Dotaz do registru vrací přidělení a kontakty registrované pro síť. Nevypisuje služby běžící na jednotlivých adresách a neříká, který nájemce požadavek poslal. I malý registrovaný blok může obsahovat nesouvisející úlohy různých zákazníků.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Překlad jména výstupního hostitele vám dá adresy vrácené v daném okamžiku, což je snímek, nikoli soupis. Rozšíření jedné odpovědi na celý hostingový prefix je samostatné rozhodnutí s širším dopadem, ne úplnější verze téhož důkazu. Pokud používáte udržovaný klasifikační kanál, jeho označení je odhad se známými chybami v obou směrech. Není to autentizace a není to seznam lidí.

Zastavte se, pokud je navržené pravidlo odůvodněné jen dotazem. Snímek není rozhodnutí o rozsahu.

Sdílené výstupy a vedlejší škody

Sdílený výstup nese mnoho uživatelů a sdílený adresní prostor znamená, že jedna veřejná adresa může zastupovat celou skupinu předplatitelů. Jeho blokování postihne všechny, včetně těch, kteří se zneužíváním nemají nic společného. Rozšíření na okolní prefix tento účinek násobí a zvyšuje šanci, že zasáhne nesouvisející službu. Vedlejší škoda není vedlejší efekt, který se pozná později; je součástí definice pravidla.

Důkazy z paketů mají své vlastní meze. Zdrojovou adresu v izolovaném SYN lze zfalšovat, takže paket neprokazuje, kdo co zahájil. Stav napůl otevřeného spojení ukazuje, že začalo navazování, ne že protistrana je vinna reflexním útokem. Dokončené spojení říká něco jiného než log aplikace a autentizovaná relace pojmenovává účet, který ani jedno z nich neuvádí.

Zvolte nejužší rozsah, který politika dovoluje, a zapište, kdo má být zasažen omylem.

Důkazy k zaznamenání a cesta zpět pro uživatele

Každé adresní pravidlo by mělo nést pozorování, které ho odůvodnilo, datum, rozsah a bod revize. Právě tento záznam umožňuje dalšímu člověku pravidlo zúžit, místo aby hádal, proč existuje. Bez něj se dočasná blokace stane trvalou infrastrukturou.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Rozhodněte, jak legitimní uživatel získá přístup zpět, ještě než blokaci nasadíte, protože fronta podpory není plán obnovy. Odvolací cesta, zdokumentovaná výjimka nebo jiný způsob přístupu fungují; říkat lidem, aby přestali používat VPN, nefunguje. Spojte síťové pravidlo s kontrolami, které odpovídají chování: limity rychlosti, přísnější oprávnění účtu nebo vynucení uvnitř samotné služby. Blokace výstupu VPN může snížit nežádoucí provoz, aniž by předstírala, že je adresář uživatelů.

Symptom, který je třeba mít na očích, je rozdíl mezi tím, co pravidlo dělá, a tím, co si lidé myslí, že dělá. Blokace odmítá adresu. Účet identifikuje uživatele. Držte tyto věty v tiketu oddělené a další pravidlo se bude snáze obhajovat.