Ο αποκλεισμός εξόδου VPN αποκλείει μια διεύθυνση, όχι ένα πρόσωπο

Κάποιος προσθέτει τη διεύθυνση εξόδου ενός παρόχου VPN σε λίστα αποκλεισμού και η κατάχρηση σταματά για μια μέρα. Έπειτα ένας πελάτης που τυχαίνει να χρησιμοποιεί τον ίδιο πάροχο ανοίγει αίτημα, και ο κανόνας αποδεικνύεται ευρύτερος από ό,τι περιέγραψε κανείς. Ο αποκλεισμός ήταν πάντα απόφαση για μια διεύθυνση· το πρόβλημα είναι ότι πουλήθηκε ως απόφαση για μια ταυτότητα. Διαχωρίστε τα δύο πριν γράψετε τον επόμενο κανόνα.

Ο κανόνας που μπορείτε να επιβάλετε αφορά μια διεύθυνση προέλευσης

Ένας κανόνας τείχους προστασίας αντιστοιχεί σε ένα πεδίο του πακέτου, και το πεδίο που αντιστοιχίζετε είναι η διεύθυνση προέλευσης. Αυτός ο κανόνας μπορεί να απορρίπτει αξιόπιστα την κίνηση από αυτή τη διεύθυνση, που είναι πραγματικό και χρήσιμο αποτέλεσμα. Δεν μπορεί να σας πει ποιος έστειλε το πακέτο, ποιος λογαριασμός χρησιμοποιήθηκε ή αν είναι το ίδιο πρόσωπο που προκάλεσε το χθεσινό πρόβλημα. Το να γράψετε τον κανόνα είναι εύκολο· το να περιγράψετε τι αποδεικνύει είναι εκεί όπου οι ομάδες κάνουν λάθος.

Αν ο στόχος είναι να σταματήσετε μια συγκεκριμένη συμπεριφορά, ο κανόνας διεύθυνσης είναι ένα αμβλύ εργαλείο που τυχαίνει να είναι διαθέσιμο. Αν ο στόχος είναι να ταυτοποιήσετε έναν χρήστη, η διεύθυνση είναι το λάθος στοιχείο και η αυθεντικοποίηση της εφαρμογής το σωστό. Αποφασίστε ποιος στόχος ισχύει πριν ο κανόνας μπει σε παραγωγή.

Τι σας λέει πραγματικά μια αναζήτηση στο μητρώο

Μια αναζήτηση στο μητρώο επιστρέφει την εκχώρηση και τις επαφές που έχουν καταχωριστεί για ένα δίκτυο. Δεν απαριθμεί τις υπηρεσίες που τρέχουν σε κάθε διεύθυνση και δεν σας λέει ποιος ενοικιαστής έστειλε ένα αίτημα. Ακόμη και ένα μικρό καταχωρισμένο μπλοκ μπορεί να περιέχει άσχετους φόρτους εργασίας διαφορετικών πελατών.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Η επίλυση ενός ονόματος κεντρικού υπολογιστή εξόδου σας δίνει τις διευθύνσεις που επιστράφηκαν εκείνη τη στιγμή, δηλαδή ένα στιγμιότυπο και όχι ένα απόθεμα. Το να επεκτείνετε μια απάντηση σε ολόκληρο το πρόθεμα φιλοξενίας είναι ξεχωριστή απόφαση με ευρύτερο αντίκτυπο, όχι πληρέστερη εκδοχή του ίδιου στοιχείου. Αν χρησιμοποιείτε μια συντηρούμενη ροή ταξινόμησης, η ετικέτα της είναι εικασία με γνωστά λάθη και προς τις δύο κατευθύνσεις. Δεν είναι αυθεντικοποίηση και δεν είναι κατάλογος προσώπων.

Σταματήστε αν ο προτεινόμενος κανόνας δικαιολογείται μόνο από μια αναζήτηση. Ένα στιγμιότυπο δεν είναι απόφαση εύρους.

Κοινόχρηστες έξοδοι και παράπλευρη ζημία

Μια κοινόχρηστη έξοδος μεταφέρει πολλούς χρήστες, και κοινόχρηστος χώρος διευθύνσεων σημαίνει ότι μία δημόσια διεύθυνση μπορεί να εκπροσωπεί ολόκληρη ομάδα συνδρομητών. Ο αποκλεισμός της τους επηρεάζει όλους, ακόμη και όσους δεν έχουν καμία σχέση με την κατάχρηση. Η επέκταση στο γύρω πρόθεμα πολλαπλασιάζει αυτό το αποτέλεσμα και αυξάνει την πιθανότητα να πιαστεί μια άσχετη υπηρεσία. Η παράπλευρη ζημία δεν είναι παρενέργεια που σημειώνεται αργότερα· είναι μέρος του ορισμού του κανόνα.

Τα στοιχεία από πακέτα έχουν τα δικά τους όρια. Μια διεύθυνση προέλευσης σε ένα μεμονωμένο SYN μπορεί να πλαστογραφηθεί, οπότε το πακέτο δεν αποδεικνύει ποιος ξεκίνησε κάτι. Μια κατάσταση ημιανοιχτής σύνδεσης δείχνει ότι ξεκίνησε μια χειραψία, όχι ότι ο απέναντι είναι ένοχος για επίθεση αντανάκλασης. Μια ολοκληρωμένη σύνδεση λέει κάτι διαφορετικό από ένα αρχείο καταγραφής εφαρμογής, και μια αυθεντικοποιημένη συνεδρία ονομάζει λογαριασμό που κανένα από τα δύο δεν ονομάζει.

Επιλέξτε το στενότερο εύρος που επιτρέπει η πολιτική και γράψτε ποιος αναμένεται να πιαστεί κατά λάθος.

Στοιχεία που πρέπει να καταγραφούν και δρόμος επιστροφής για τους χρήστες

Κάθε κανόνας διεύθυνσης πρέπει να φέρει την παρατήρηση που τον δικαιολόγησε, την ημερομηνία, το εύρος και ένα σημείο αναθεώρησης. Αυτή η καταγραφή είναι που επιτρέπει στον επόμενο να περιορίσει τον κανόνα αντί να μαντέψει γιατί υπάρχει. Χωρίς αυτήν, ένας προσωρινός αποκλεισμός γίνεται μόνιμη υποδομή.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Αποφασίστε πώς ένας νόμιμος χρήστης ανακτά την πρόσβαση πριν αναπτύξετε τον αποκλεισμό, γιατί μια ουρά υποστήριξης δεν είναι σχέδιο ανάκτησης. Μια διαδρομή ένστασης, μια τεκμηριωμένη εξαίρεση ή μια διαφορετική μέθοδος πρόσβασης λειτουργούν· το να λέτε στους ανθρώπους να σταματήσουν να χρησιμοποιούν το VPN τους δεν λειτουργεί. Συνδυάστε τον κανόνα δικτύου με ελέγχους που ταιριάζουν στη συμπεριφορά: όρια ρυθμού, στενότερα δικαιώματα λογαριασμού ή επιβολή μέσα στην ίδια την υπηρεσία. Ένας αποκλεισμός εξόδου VPN μπορεί να μειώσει την ανεπιθύμητη κίνηση χωρίς να παριστάνει κατάλογο χρηστών.

Το σύμπτωμα που πρέπει να κρατάτε στο μυαλό είναι το χάσμα ανάμεσα σε αυτό που κάνει ο κανόνας και σε αυτό που πιστεύουν οι άνθρωποι ότι κάνει. Ένας αποκλεισμός απορρίπτει μια διεύθυνση. Ένας λογαριασμός ταυτοποιεί έναν χρήστη. Κρατήστε αυτές τις προτάσεις χωριστές στο αίτημα, και ο επόμενος κανόνας θα είναι ευκολότερο να υπερασπιστεί.