Wer einen VPN-Ausgang sperrt, sperrt eine Adresse und keine Person

Jemand setzt die Ausgangsadresse eines VPN-Anbieters auf eine Sperrliste, und der Missbrauch hört für einen Tag auf. Dann meldet sich ein Kunde, der zufällig denselben Anbieter nutzt, und die Regel erweist sich als breiter, als irgendjemand beschrieben hatte. Die Sperre war immer eine Entscheidung über eine Adresse; das Problem ist, dass sie als Entscheidung über eine Identität verkauft wurde. Trennen Sie beides, bevor Sie die nächste Regel schreiben.

Die Regel, die Sie durchsetzen können, betrifft eine Quelladresse

Eine Firewall-Regel passt auf ein Feld im Paket, und das Feld, auf das Sie passen, ist die Quelladresse. Diese Regel kann Datenverkehr von dieser Adresse zuverlässig abweisen, was ein echter und nützlicher Effekt ist. Sie kann Ihnen nicht sagen, wer das Paket gesendet hat, welches Konto genutzt wurde oder ob es dieselbe Person ist, die das gestrige Problem verursacht hat. Die Regel zu schreiben ist einfach; zu beschreiben, was sie belegt, ist der Punkt, an dem Teams falsch liegen.

Wenn das Ziel ist, ein bestimmtes Verhalten zu stoppen, ist eine Adressregel ein grobes Werkzeug, das zufällig verfügbar ist. Wenn das Ziel ist, einen Nutzer zu identifizieren, ist die Adresse der falsche Beleg und die Authentifizierung der Anwendung der richtige. Entscheiden Sie, welches Ziel Sie haben, bevor die Regel in Produktion geht.

Was eine Registerabfrage tatsächlich aussagt

Eine Registerabfrage liefert die Zuteilung und die für ein Netz registrierten Kontakte. Sie listet nicht die Dienste auf, die auf den einzelnen Adressen laufen, und sie sagt nicht, welcher Mandant eine Anfrage gesendet hat. Selbst ein kleiner registrierter Block kann unzusammenhängende Arbeitslasten verschiedener Kunden enthalten.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Das Auflösen eines Ausgangshostnamens liefert die in diesem Moment zurückgegebenen Adressen, also eine Momentaufnahme und kein Inventar. Eine Antwort auf das gesamte Hosting-Präfix auszudehnen ist eine separate Entscheidung mit größerer Reichweite, keine vollständigere Version desselben Belegs. Wenn Sie einen gepflegten Klassifizierungsfeed nutzen, ist dessen Etikett eine Vermutung mit bekannten Fehlern in beide Richtungen. Es ist keine Authentifizierung und keine Liste von Personen.

Halten Sie inne, wenn die vorgeschlagene Regel allein durch eine Abfrage begründet wird. Eine Momentaufnahme ist keine Umfangsentscheidung.

Geteilte Ausgänge und Kollateralschäden

Ein geteilter Ausgang trägt viele Nutzer, und gemeinsam genutzter Adressraum bedeutet, dass eine öffentliche Adresse eine ganze Gruppe von Teilnehmern vertreten kann. Sie zu sperren trifft alle, auch diejenigen ohne Bezug zum Missbrauch. Die Ausweitung auf das umliegende Präfix vervielfacht diesen Effekt und erhöht die Chance, dass ein unabhängiger Dienst erfasst wird. Der Kollateralschaden ist kein Nebeneffekt, den man später notiert; er gehört zur Definition der Regel.

Paketbelege haben ihre eigenen Grenzen. Eine Quelladresse in einem isolierten SYN kann gefälscht sein, das Paket belegt also nicht, wer etwas begonnen hat. Ein halboffener Verbindungszustand zeigt, dass ein Handshake begonnen hat, nicht dass die Gegenseite eines Reflexionsangriffs schuldig ist. Eine abgeschlossene Verbindung sagt etwas anderes als ein Anwendungsprotokoll, und eine authentifizierte Sitzung nennt ein Konto, das keines von beiden nennt.

Wählen Sie den engsten Umfang, den die Richtlinie zulässt, und notieren Sie, wer versehentlich getroffen werden dürfte.

Belege, die festzuhalten sind, und ein Rückweg für Nutzer

Jede Adressregel sollte die Beobachtung tragen, die sie begründet hat, das Datum, den Umfang und einen Prüfpunkt. Genau dieser Eintrag ermöglicht es der nächsten Person, die Regel zu verkleinern, statt zu raten, warum sie existiert. Ohne ihn wird eine vorübergehende Sperre zu dauerhafter Infrastruktur.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Entscheiden Sie, wie ein legitimer Nutzer den Zugang zurückgewinnt, bevor Sie die Sperre ausrollen, denn eine Support-Warteschlange ist kein Wiederherstellungsplan. Ein Einspruchsweg, eine dokumentierte Ausnahme oder eine andere Zugangsmethode funktionieren; den Leuten zu sagen, sie sollen ihr VPN nicht mehr nutzen, funktioniert nicht. Verbinden Sie die Netzwerkregel mit Kontrollen, die zum Verhalten passen: Ratenbegrenzungen, engere Kontoberechtigungen oder Durchsetzung innerhalb des Dienstes selbst. Eine VPN-Ausgangssperre kann unerwünschten Verkehr verringern, ohne sich als Benutzerverzeichnis auszugeben.

Das Symptom, das im Blick zu behalten ist, ist die Lücke zwischen dem, was die Regel tut, und dem, was die Leute glauben, dass sie tut. Eine Sperre weist eine Adresse ab. Ein Konto identifiziert einen Nutzer. Halten Sie diese Sätze im Ticket getrennt, und die nächste Regel wird leichter zu verteidigen sein.