Mae blocio allanfa VPN yn blocio cyfeiriad, nid person

Mae rhywun yn ychwanegu cyfeiriad allanfa darparwr VPN at restr gwahardd, ac mae’r camddefnydd yn stopio am ddiwrnod. Yna mae cwsmer sy’n digwydd defnyddio’r un darparwr yn codi tocyn, ac mae’r rheol yn troi allan yn fwy eang nag y disgrifiodd unrhyw un. Roedd y bloc bob amser yn benderfyniad am gyfeiriad; y broblem yw iddo gael ei werthu fel penderfyniad am hunaniaeth. Gwahanwch y ddau cyn i chi ysgrifennu’r rheol nesaf.

Mae’r rheol y gallwch ei gorfodi yn ymwneud â chyfeiriad ffynhonnell

Mae rheol wal dân yn cyfateb i faes mewn pecyn, a’r maes rydych yn ei gyfateb yw’r cyfeiriad ffynhonnell. Gall y rheol honno wrthod traffig o’r cyfeiriad hwnnw’n ddibynadwy, sy’n effaith wirioneddol ac yn un ddefnyddiol. Ni all ddweud wrthych pwy anfonodd y pecyn, pa gyfrif a ddefnyddiwyd, na ph’un a yw’r un person ag a achosodd broblem ddoe. Mae ysgrifennu’r rheol yn hawdd; disgrifio’r hyn y mae’n ei brofi yw lle mae timau’n camgymryd.

Os mai’r nod yw atal ymddygiad penodol, mae rheol cyfeiriad yn offeryn di-fin sydd ar gael trwy ddamwain. Os mai’r nod yw adnabod defnyddiwr, y cyfeiriad yw’r dystiolaeth anghywir a dilysu’r ap yw’r un cywir. Penderfynwch pa nod sydd gennych cyn i’r rheol fynd i gynhyrchu.

Beth mae chwiliad cofrestr yn ei ddweud wrthych mewn gwirionedd

Mae chwiliad cofrestr yn dychwelyd y dyraniad a’r cysylltiadau sydd wedi’u cofrestru ar gyfer rhwydwaith. Nid yw’n rhestru’r gwasanaethau sy’n rhedeg ar bob cyfeiriad, ac nid yw’n dweud wrthych pa denant a anfonodd gais. Gall hyd yn oed bloc cofrestredig bach gynnwys llwythi gwaith heb berthynas â’i gilydd o wahanol gwsmeriaid.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Mae datrys enw gwesteiwr allanfa yn rhoi’r cyfeiriadau a ddychwelwyd ar y foment honno, sef ciplun yn hytrach na rhestr gyflawn. Mae ehangu un ateb i’r holl ragddodiad gwesteio yn benderfyniad ar wahân â radiws effaith ehangach, nid fersiwn fwy cyflawn o’r un dystiolaeth. Os ydych yn defnyddio ffrwd dosbarthu a gynhelir, mae ei label yn ddyfaliad â gwallau hysbys yn y ddau gyfeiriad. Nid yw’n ddilysu, ac nid yw’n rhestr o bobl.

Stopiwch os yw’r rheol arfaethedig yn cael ei chyfiawnhau gan chwiliad yn unig. Nid yw ciplun yn benderfyniad cwmpas.

Allanfeydd a rennir a difrod ochr

Mae allanfa a rennir yn cario llawer o ddefnyddwyr, ac mae gofod cyfeiriadau a rennir yn golygu y gall un cyfeiriad cyhoeddus gynrychioli grŵp cyfan o danysgrifwyr. Mae ei flocio yn effeithio arnynt i gyd, gan gynnwys y rhai heb unrhyw gysylltiad â’r camddefnydd. Mae ehangu i’r rhagddodiad cyfagos yn lluosi’r effaith honno ac yn cynyddu’r siawns y caiff gwasanaeth heb berthynas ei ddal. Nid yw’r difrod ochr yn sgil-effaith i’w nodi’n ddiweddarach; mae’n rhan o ddiffiniad y rheol.

Mae gan dystiolaeth pecynnau ei therfynau ei hun. Gellir ffugio cyfeiriad ffynhonnell mewn SYN unig, felly nid yw’r pecyn yn sefydlu pwy a ddechreuodd unrhyw beth. Mae cyflwr cysylltiad hanner-agored yn dangos bod ysgydwad llaw wedi dechrau, nid bod y parti arall yn euog o ymosodiad adlewyrchu. Mae cysylltiad gorffenedig yn dweud rhywbeth gwahanol i gofnod ap, ac mae sesiwn ddilysedig yn enwi cyfrif nad yw’r naill na’r llall yn ei enwi.

Dewiswch y cwmpas culaf y mae’r polisi yn ei ganiatáu, ac ysgrifennwch pwy y disgwylir iddo gael ei ddal ar gam.

Tystiolaeth i’w chofnodi, a ffordd yn ôl i ddefnyddwyr

Dylai pob rheol cyfeiriad gario’r arsylwad a’i cyfiawnhaodd, y dyddiad, y cwmpas a phwynt adolygu. Y cofnod hwnnw sy’n caniatáu i’r person nesaf gulhau’r rheol yn lle dyfalu pam y mae’n bodoli. Heb hynny, mae bloc dros dro yn dod yn seilwaith parhaol.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Penderfynwch sut y mae defnyddiwr dilys yn adennill mynediad cyn i chi osod y bloc, oherwydd nid yw ciw cymorth yn gynllun adfer. Mae llwybr apêl, eithriad wedi’i ddogfennu neu ddull mynediad gwahanol yn gweithio; nid yw dweud wrth bobl am roi’r gorau i ddefnyddio eu VPN yn gweithio. Parwch y rheol rwydwaith â rheolaethau sy’n addas i’r ymddygiad: terfynau cyfradd, caniatadau cyfrif tynnach neu orfodi o fewn y gwasanaeth ei hun. Gall bloc allanfa VPN leihau traffig diangen heb esgus bod yn gyfeiriadur defnyddwyr.

Y symptom i’w gadw mewn golwg yw’r bwlch rhwng yr hyn y mae’r rheol yn ei wneud a’r hyn y mae pobl yn credu y mae’n ei wneud. Mae bloc yn gwrthod cyfeiriad. Mae cyfrif yn adnabod defnyddiwr. Cadwch y brawddegau hynny ar wahân yn y tocyn, a bydd y rheol nesaf yn haws ei hamddiffyn.