Proč blokování portů VPN nezastaví neautorizované tunely

Pravidlo firewallu odmítá provoz, na který se vztahuje. Neodmítá však každé použití spojení, které povoluje, a právě v této mezeře selhávají většina politik proti neautorizovaným tunelům. Blokování portů klienta, který byl populární před pěti lety, nechává nedotčené vše, co jezdí přes 443, a neříká nic o zařízení, které dokáže přepsat vlastní trasy. Postavte řízení na oprávnění a cílech a potom čtěte toky, které skutečně povolujete.

Proč seznam portů není politikou

Porty jsou koncept transportní vrstvy a několik tunelových technologií je vůbec nepoužívá. Jiné záměrně sdílejí port s běžným webovým provozem, protože tento port je ten, který zaručeně projde. Pravidlo vázané na historický port proto vypočítává hrstku implementací místo třídy chování. Špatně také stárne: ve chvíli, kdy poskytovatel změní výchozí hodnoty, seznam popisuje minulost.

Hůř, úspěšné zablokování jednoho portu lze číst jako důkaz, že je celý problém vyřešen, což pak oddálí kontroly, na kterých by záleželo.

Čísla protokolů a porty jsou různé jmenné prostory

GRE má přiřazeno číslo IP protokolu 47. Není to TCP port 47 ani UDP port 47 a filtr napsaný pro port se ho netýká. ESP a AH leží na číslech protokolů 50 a 51 se stejnou vlastností. Zapouzdřený provoz se může skrývat i uvnitř povoleného spojení, a proto může kategorie nebo signatura pomoci, ale nikdy sama o sobě nepotvrzuje účel. Důvěra a pokrytí patří konkrétnímu produktu a vydání, ne konceptu.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

První příkaz ukazuje, co jste skutečně napsali; druhý ukazuje tabulku protokolů, kterou zásobník zná; třetí ukazuje, kolik relací právě teď používá webový port. Žádný z nich neříká, k čemu tyto relace slouží. Odposlouchávání TLS je samostatné rozhodnutí s vlastními náklady na důvěru, soukromí a kompatibilitu s klienty. Není to předpoklad pro odmítnutí pojmenovaného cíle a není to ani záruka rozpoznání tunelů.

Řiďte oprávnění, které zařízení má

Zařízení, které může změnit vlastní směrovací tabulku a filtrování, má schopnosti, které běžná aplikace nemá. Správa přijetí a konfigurace je to, co tuto schopnost odstraňuje, a působí bez ohledu na to, který port by tunel použil.

To znamená, že schválená připojení dostávají svou deklarovanou roli místo neomezeného oprávnění předávat za jiná zařízení, a znamená to, že práva k instalaci a správě sítě jsou součástí politiky místo dodatečného nápadu.

Sledujte toky, které zůstávají. Propojte identitu zařízení, přidělenou roli a metadata toku a klasifikaci berte jako důkaz s omezeními, ne jako rozsudek.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Dlouhotrvající šifrovaná relace nebo velký počet bajtů není důkazem zneužití: zálohy, nástroje podpory a spoje mezi lokalitami vypadají stejně. Omezte sběr na vyšetřování a uchovejte, co najdete, v rámci procesu, který to vlastní.

Udělejte výjimky explicitními

Každé prostředí má cíle, které musí zůstat dostupné pro aktualizace, ověřování a obnovu. Zapište je s účelem a vlastníkem a kontrolujte je, místo abyste je objevovali jeden výpadek po druhém.

Když firma skutečně povolí širokou externí službu, posuďte oprávnění, které tato služba poskytuje, místo abyste předpokládali, že označení cíle činí každé použití přijatelným.

Nekontrolovaná výjimka je díra s číslem tiketu. Výjimka s názvem, důvodem a datem kontroly je rozhodnutí.

Přijměte s písemným plánem, ne se sloganem

Přijetí má dvě poloviny: schválená práce stále uspěje a konkrétní zakázané případy selžou v autorizovaném testu. Obě je třeba napsat před změnou a zopakovat po ní.

Zahrňte do této kontroly změny koncových bodů a politiky, protože trasa přidaná na notebooku může zrušit filtr, který na okraji fungoval dokonale.

Výsledkem je vlastní výstupní hranice se známým seznamem zbývajícího rizika. Tvrdit, že několik zavřených portů ukončilo neautorizované používání VPN, tím není.