Warum das Blockieren von VPN-Ports unautorisierte Tunnel nicht stoppt

Eine Firewall-Regel verweigert den Verkehr, auf den sie passt. Sie verweigert nicht jede Nutzung einer Verbindung, die sie erlaubt, und genau in dieser Lücke scheitern die meisten Richtlinien gegen unautorisierte Tunnel. Wer die Ports des Clients blockiert, der vor fünf Jahren beliebt war, lässt alles unberührt, was über 443 läuft, und sagt nichts über ein Gerät aus, das seine eigenen Routen umschreiben kann. Bauen Sie die Kontrolle um Befugnis und Ziele herum auf und lesen Sie dann die Flüsse, die Sie tatsächlich zulassen.

Warum eine Portliste keine Richtlinie ist

Ports sind ein Konzept der Transportschicht, und mehrere Tunneltechnologien verwenden überhaupt keinen. Andere teilen sich bewusst einen Port mit gewöhnlichem Webverkehr, weil dieser Port der garantiert durchgelassene ist. Eine Regel, die auf einem historischen Port aufsetzt, zählt daher eine Handvoll Implementierungen auf statt die Klasse des Verhaltens. Sie altert auch schlecht: Sobald ein Anbieter seine Standardwerte ändert, beschreibt die Liste die Vergangenheit.

Schlimmer noch: Ein erfolgreicher Block auf einem Port kann als Beweis gelesen werden, dass das ganze Problem gelöst ist, was dann die Kontrollen verzögert, die gezählt hätten.

Protokollnummern und Ports sind verschiedene Namensräume

GRE ist die IP-Protokollnummer 47 zugewiesen. Es ist nicht TCP-Port 47 und nicht UDP-Port 47, und ein für einen Port geschriebener Filter erfasst es nicht. ESP und AH liegen mit derselben Eigenschaft auf den Protokollnummern 50 und 51. Gekapselter Verkehr kann sich auch in einer erlaubten Verbindung verstecken, weshalb eine Kategorie oder Signatur helfen kann, aber nie den Zweck für sich zertifiziert. Konfidenz und Abdeckung gehören zu einem bestimmten Produkt und Release, nicht zum Konzept.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Der erste Befehl zeigt, was Sie tatsächlich geschrieben haben; der zweite zeigt die Protokolltabelle, die der Stack kennt; der dritte zeigt, wie viele Sitzungen gerade den Web-Port nutzen. Keiner von ihnen sagt, wofür diese Sitzungen da sind. TLS-Interception ist eine eigene Entscheidung mit eigenen Kosten für Vertrauen, Privatsphäre und Client-Kompatibilität. Sie ist keine Voraussetzung dafür, ein benanntes Ziel zu verweigern, und auch keine Garantie für die Erkennung von Tunneln.

Steuern Sie die Befugnis, die das Gerät hat

Ein Gerät, das seine eigene Routing-Tabelle und Filterung ändern kann, hat Fähigkeiten, die eine gewöhnliche Anwendung nicht hat. Zulassungs- und Konfigurationsverwaltung sind das, was diese Fähigkeit entfernt, und sie wirken unabhängig davon, welchen Port der Tunnel nutzen würde.

Das bedeutet, dass genehmigte Anhänge ihre erklärte Rolle erhalten statt uneingeschränkter Erlaubnis, für andere Geräte weiterzuleiten, und es bedeutet, dass Installations- und Netzverwaltungsrechte Teil der Richtlinie sind statt eines Nachgedankens.

Beobachten Sie die Flüsse, die bleiben. Korrelieren Sie Geräteidentität, zugewiesene Rolle und Fluss-Metadaten, und behandeln Sie Klassifizierung als Beweis mit Grenzen statt als Urteil.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Eine langlebige verschlüsselte Sitzung oder eine große Bytezahl ist kein Beweis für Missbrauch: Backups, Support-Werkzeuge und Standortverbindungen sehen genauso aus. Halten Sie die Erfassung auf die Untersuchung begrenzt und bewahren Sie das Gefundene unter dem Prozess auf, dem es gehört.

Machen Sie die Ausnahmen ausdrücklich

Jede Umgebung hat Ziele, die für Updates, Authentifizierung und Wiederherstellung erreichbar bleiben müssen. Schreiben Sie sie mit Zweck und Verantwortlichem auf, und überprüfen Sie sie, statt sie einen Ausfall nach dem anderen zu entdecken.

Wenn das Unternehmen einen breiten externen Dienst wirklich zulässt, bewerten Sie die Befugnis, die dieser Dienst liefert, statt anzunehmen, das Ziel-Etikett mache jede Nutzung akzeptabel.

Eine nicht überprüfte Ausnahme ist ein Loch mit einer Ticketnummer. Eine Ausnahme mit Name, Grund und Überprüfungsdatum ist eine Entscheidung.

Abnahme mit einem schriftlichen Plan, nicht mit einem Slogan

Abnahme hat zwei Hälften: Die genehmigte Arbeit gelingt weiterhin, und die konkret verbotenen Fälle scheitern in einem autorisierten Test. Beides muss vor der Änderung geschrieben und nach ihr wiederholt werden.

Nehmen Sie Endpunkt- und Richtlinienänderungen in diese Überprüfung auf, denn eine auf einem Laptop hinzugefügte Route kann einen Filter aufheben, der am Rand einwandfrei funktionierte.

Das Ergebnis ist eine verantwortete Egress-Grenze mit einer bekannten Liste verbleibender Risiken. Zu behaupten, ein paar geschlossene Ports hätten die unautorisierte VPN-Nutzung beendet, ist das nicht.