At blokere en VPN-udgang blokerer en adresse, ikke en person

Nogen tilføjer en VPN-udbyderes udgangsadresse til en blokeringsliste, og misbruget stopper i en dag. Så sender en kunde, der tilfældigvis bruger samme udbyder, en sag, og reglen viser sig at være bredere, end nogen beskrev. Blokeringen har altid været en adressebeslutning; problemet er, at den blev solgt som en identitetsbeslutning. Adskil de to, før du skriver den næste regel.

Den regel, du kan håndhæve, handler om en kildeadresse

En firewall-regel matcher et felt i en pakke, og det felt, du matcher, er kildeadressen. Den regel kan pålideligt afvise trafik fra den adresse, hvilket er en reel og nyttig effekt. Den kan ikke fortælle dig, hvem der sendte pakken, hvilken konto de brugte, eller om det er samme person, der skabte gårsdagens problem. At skrive reglen er let; at beskrive, hvad den beviser, er der, hvor teams tager fejl.

Hvis målet er at stoppe en bestemt adfærd, er en adresseregel et sløvt værktøj, der tilfældigvis er tilgængeligt. Hvis målet er at identificere en bruger, er adressen det forkerte bevis, og applikationens godkendelse er det rigtige. Beslut, hvilket mål du har, før reglen går i produktion.

Hvad en registerforespørgsel faktisk fortæller dig

En registerforespørgsel returnerer tildelingen og de kontakter, der er registreret for et netværk. Den lister ikke de tjenester, der kører på hver adresse, og den fortæller ikke, hvilken lejer der sendte en anmodning. Selv en lille registreret blok kan indeholde uafhængige arbejdsbelastninger fra forskellige kunder.

dig +short exit.example.net
whois 203.0.113.0 | head -40

At slå et udgangsværtsnavn op giver dig de adresser, der returneres i det øjeblik, hvilket er et øjebliksbillede og ikke en fortegnelse. At udvide et enkelt svar til hele hostingpræfikset er en separat beslutning med en bredere effekt, ikke en mere fuldstændig version af det samme bevis. Hvis du bruger et vedligeholdt klassifikationsfeed, er dets etiket et gæt med kendte fejl i begge retninger. Det er ikke godkendelse, og det er ikke en liste over personer.

Stop, hvis den foreslåede regel kun begrundes med en opslagning. Et øjebliksbillede er ikke en omfangsbeslutning.

Delte udgange og følgeskader

En delt udgang bærer mange brugere, og delt adresseområde betyder, at én offentlig adresse kan repræsentere en hel gruppe abonnenter. At blokere den rammer dem alle, også dem uden forbindelse til misbruget. At udvide til det omkringliggende præfiks mangedobler den effekt og øger chancen for, at en uafhængig tjeneste rammes. Følgeskaden er ikke en bivirkning, man noterer senere; den er en del af reglens definition.

Pakke-evidence har sine egne grænser. En kildeadresse i en isoleret SYN kan forfalskes, så pakken fastslår ikke, hvem der startede noget. En halvåben forbindelsestilstand viser, at et håndtryk begyndte, ikke at modparten er skyldig i et refleksionsangreb. En afsluttet forbindelse siger noget andet end en applikationslog, og en godkendt session navngiver en konto, som ingen af dem gør.

Vælg det snævreste omfang, politikken tillader, og skriv ned, hvem der forventes ramt ved en fejl.

Evidens, der skal noteres, og en vej tilbage for brugere

Hver adresseregel bør bære den observation, der begrundede den, datoen, omfanget og et revisionspunkt. Den registrering er det, der gør det muligt for den næste person at indsnævre reglen i stedet for at gætte, hvorfor den findes. Uden den bliver en midlertidig blokering permanent infrastruktur.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Beslut, hvordan en legitim bruger genvinder adgang, før du udruller blokeringen, fordi en supportkø er ikke en genopretningsplan. En klagevej, en dokumenteret undtagelse eller en anden adgangsmetode virker alle; at bede folk om at stoppe med at bruge deres VPN virker ikke. Par netværksreglen med kontroller, der passer til adfærden: hastighedsgrænser, strammere kontotilladelser eller håndhævelse inde i tjenesten selv. En VPN-udgangsblokering kan reducere uønsket trafik uden at foregive at være en brugerkatalog.

Det symptom, du skal holde for øje, er kløften mellem, hvad reglen gør, og hvad folk tror, den gør. En blokering afviser en adresse. En konto identificerer en bruger. Hold de sætninger adskilt i sagen, og den næste regel bliver lettere at forsvare.