Pam nad yw blocio porthladdoedd VPN yn atal twneli heb awdurdod

Mae rheol wal dân yn gwrthod y traffig y mae'n cyfateb iddo. Nid yw'n gwrthod pob defnydd o gysylltiad y mae'n ei ganiatáu, a dyna'r bwlch lle mae'r rhan fwyaf o bolisïau yn erbyn twneli heb awdurdod yn methu. Mae blocio porthladdoedd y cleient a oedd yn boblogaidd bum mlynedd yn ôl yn gadael popeth sy'n teithio dros 443 heb ei gyffwrdd, ac nid yw'n dweud dim am ddyfais sy'n gallu ailysgrifennu ei llwybrau ei hun. Adeiladwch y rheolaeth o amgylch awdurdod a chyrchfannau, yna darllenwch y llifau rydych chi'n eu caniatáu mewn gwirionedd.

Pam nad yw rhestr porthladdoedd yn bolisi

Mae porthladdoedd yn gysyniad haen cludo, ac nid yw sawl technoleg twnnel yn defnyddio un o gwbl. Mae eraill yn rhannu porthladd yn fwriadol â thraffig gwe cyffredin, oherwydd y porthladd hwnnw yw'r un sy'n cael ei warantu i basio. Felly mae rheol sy'n seiliedig ar borthladd hanesyddol yn rhestru llond llaw o weithrediadau yn hytrach na dosbarth yr ymddygiad. Mae hefyd yn heneiddio'n wael: yr eiliad y bydd darparwr yn newid rhagosodiadau, mae'r rhestr yn disgrifio'r gorffennol.

Yn waeth fyth, gall blocio un porthladd yn llwyddiannus gael ei ddarllen fel tystiolaeth bod y broblem gyfan wedi'i datrys, sy'n oedi'r rheolaethau a fyddai wedi cyfrif.

Mae rhifau protocol a phorthladdoedd yn wahanol fannau enw

Mae GRE yn cael rhif protocol IP 47. Nid porthladd TCP 47 yw e ac nid porthladd UDP 47 yw e, ac nid yw hidlydd a ysgrifennwyd ar gyfer porthladd yn cyffwrdd ag e. Mae ESP ac AH ar rifau protocol 50 a 51 gyda'r un nodwedd. Gall traffig wedi'i gapsiwleiddio hefyd guddio y tu mewn i gysylltiad a ganiateir, a dyna pam y gall categori neu lofnod helpu ond nad yw byth yn ardystio'r pwrpas ar ei ben ei hun. Mae hyder a chwmpas yn perthyn i gynnyrch a rhyddhau penodol, nid i'r cysyniad.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Mae'r gorchymyn cyntaf yn dangos yr hyn a ysgrifennoch mewn gwirionedd; mae'r ail yn dangos y tabl protocol y mae'r stac yn ei adnabod; mae'r trydydd yn dangos faint o sesiynau sy'n defnyddio'r porthladd gwe ar hyn o bryd. Nid oes yr un ohonynt yn dweud beth yw pwrpas y sesiynau hynny. Mae rhyng-gipio TLS yn benderfyniad ar wahân gyda'i gostau ei hun o ran ymddiriedaeth, preifatrwydd a chydnawsedd cleient. Nid yw'n rhagofyniad ar gyfer gwrthod cyrchfan a enwir, ac nid yw'n warant ar gyfer adnabod twneli chwaith.

Rheolwch yr awdurdod sydd gan y ddyfais

Mae gan ddyfais sy'n gallu newid ei thabl llwybro a'i hidlo ei hun alluoedd nad oes gan raglen gyffredin. Rheoli mynediad a chyfluniad sy'n tynnu'r gallu hwnnw, ac mae'n gweithredu waeth pa borthladd y byddai'r twnnel yn ei ddefnyddio.

Mae hynny'n golygu bod atodiadau cymeradwy yn cael eu rôl ddatganedig yn hytrach na chaniatâd diderfyn i anfon ymlaen ar gyfer dyfeisiau eraill, ac mae'n golygu bod hawliau gosod a gweinyddu rhwydwaith yn rhan o'r polisi yn hytrach na meddwl hwyr.

Arsylwch y llifau sy'n weddill. Cydberthynwch hunaniaeth y ddyfais, y rôl a bennwyd a metadata'r llif, a thriniwch y dosbarthiad fel tystiolaeth gyda chyfyngiadau yn hytrach na barn.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Nid yw sesiwn amgryptiedig hirhoedlog na chyfrif beit mawr yn brawf o gamddefnydd: mae copïau wrth gefn, offer cymorth a chysylltiadau safle yn edrych yr un peth. Cadwch y casgliad o fewn yr ymchwiliad a chadwch yr hyn a ddowch o hyd iddo o dan y broses sy'n berchen arno.

Gwnewch yr eithriadau'n eglur

Mae gan bob amgylchedd gyrchfannau y mae'n rhaid iddynt aros yn gyrraeddadwy ar gyfer diweddariadau, dilysu ac adfer. Ysgrifennwch nhw gyda phwrpas a pherchennog, a'u hadolygu yn lle dod o hyd iddynt un diffyg ar y tro.

Pan fydd y busnes yn caniatáu gwasanaeth allanol eang mewn gwirionedd, gwerthuswch yr awdurdod y mae'r gwasanaeth hwnnw'n ei ddarparu yn lle tybio bod label y gyrchfan yn gwneud pob defnydd yn dderbyniol.

Mae eithriad heb ei adolygu yn dwll gyda rhif tocyn. Mae eithriad gydag enw, rheswm a dyddiad adolygu yn benderfyniad.

Derbyniwch gyda chynllun ysgrifenedig, nid slogan

Mae gan dderbyn dau hanner: mae'r gwaith cymeradwy yn dal i lwyddo, ac mae'r achosion gwaharddedig penodol yn methu o dan brawf awdurdodedig. Rhaid ysgrifennu'r ddau cyn y newid a'u hailadrodd ar ei ôl.

Cynhwyswch newidiadau pwynt diwedd a pholisi yn yr adolygiad hwnnw, oherwydd gall llwybr a ychwanegir ar liniadur ddadwneud hidlydd a oedd yn gweithio'n berffaith ar yr ymyl.

Y canlyniad yw ffin allanfa berchenedig gyda rhestr hysbys o risg sy'n weddill. Nid dweud bod ychydig o borthladdoedd caeedig wedi dod â defnydd VPN heb awdurdod i ben yw hynny.