Blokado de VPN-elirejo blokas adreson, ne personon

Iu aldonas la eliran adreson de VPN-provizanto al malpermesa listo, kaj la misuzo haltas por unu tago. Poste kliento, kiu hazarde uzas la saman provizanton, malfermas bileton, kaj la regulo montriĝas pli larĝa ol iu ajn priskribis. La blokado ĉiam estis decido pri adreso; la problemo estas, ke ĝi estis vendita kiel decido pri identeco. Apartigu la du antaŭ ol vi skribos la sekvan regulon.

La regulo, kiun vi povas plenumi, koncernas fontan adreson

Fajroŝirma regulo kongruas kun kampo en la paketo, kaj la kampo, kiun vi kongruas, estas la fonta adreso. Tiu regulo povas fidele rifuzi trafikon de tiu adreso, kio estas reala kaj utila efiko. Ĝi ne povas diri al vi, kiu sendis la paketon, kiun konton oni uzis, aŭ ĉu temas pri la sama persono, kiu kaŭzis la hieraŭan problemon. Skribi la regulon estas facile; priskribi, kion ĝi pruvas, estas la loko, kie teamoj eraras.

Se la celo estas haltigi specifan konduton, adresa regulo estas malakra ilo, kiu hazarde disponeblas. Se la celo estas identigi uzanton, la adreso estas la malĝusta pruvo kaj la aŭtentikigo de la aplikaĵo estas la ĝusta. Decidu, kiun celon vi havas, antaŭ ol la regulo iras en produktadon.

Kion registro-serĉo vere diras al vi

Registra serĉo redonas la asignadon kaj la kontaktojn registritajn por reto. Ĝi ne listigas la servojn funkciantajn sur ĉiu adreso, kaj ĝi ne diras, kiu luanto sendis peton. Eĉ malgranda registrita bloko povas enhavi nerilatajn laborŝarĝojn de malsamaj klientoj.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Solvi eliran gastigantnomon donas al vi la adresojn redonitajn en tiu momento, kio estas momenta bildo kaj ne inventaro. Etendi unu respondon al la tuta gastiga prefikso estas aparta decido kun pli larĝa efiko, ne pli kompleta versio de la sama pruvo. Se vi uzas prizorgatan klasifikadan fluon, ĝia etikedo estas konjekto kun konataj eraroj en ambaŭ direktoj. Ĝi ne estas aŭtentikigo, kaj ĝi ne estas listo de personoj.

Haltu, se la proponita regulo estas pravigita nur per serĉo. Momenta bildo ne estas decido pri amplekso.

Komunaj elirejoj kaj flankaj damaĝoj

Komuna elirejo portas multajn uzantojn, kaj komuna adresa spaco signifas, ke unu publika adreso povas reprezenti tutan grupon da abonantoj. Bloki ĝin efikas al ĉiuj, inkluzive de tiuj sen ia rilato al la misuzo. Etendi al la ĉirkaŭa prefikso multobligas tiun efikon kaj pliigas la ŝancon, ke nerilata servo estos kaptita. La flanka damaĝo ne estas kromefiko notenda poste; ĝi estas parto de la difino de la regulo.

Pakitaj pruvoj havas proprajn limojn. Fonto-adreso en izolita SYN povas esti falsita, do la paketo ne establas, kiu iniciatis ion. Duonmalfermita konekta stato montras, ke manpremo komenciĝis, ne ke la kontraŭulo kulpas pri reflekta atako. Finita konekto diras ion alian ol aplikaĵa protokolo, kaj aŭtentikigita seanco nomas konton, kiun neniu el ili nomas.

Elektu la plej mallarĝan amplekson, kiun la politiko permesas, kaj notu, kiuj atendas esti kaptitaj erare.

Pruvoj notindaj, kaj revena vojo por uzantoj

Ĉiu adresa regulo devus porti la observon, kiu pravigis ĝin, la daton, la amplekson kaj revizian punkton. Tiu registro estas tio, kio ebligas al la sekva persono malvastigi la regulon anstataŭ diveni, kial ĝi ekzistas. Sen ĝi, provizora blokado fariĝas konstanta infrastrukturo.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Decidu, kiel legitima uzanto reakiras aliron antaŭ ol vi deplojos la blokadon, ĉar subtena vico ne estas reakira plano. Apelacia vojo, dokumentita escepto aŭ malsama alirmetodo funkcias; diri al homoj ĉesi uzi sian VPN ne funkcias. Parigu la retan regulon kun kontroloj taŭgaj al la konduto: rapidlimoj, pli striktaj kontaj permesoj aŭ plenumo ene de la servo mem. Blokado de VPN-elirejo povas redukti nedeziratan trafikon sen ŝajnigi esti uzula adresaro.

La simptomo tenenda en la vido estas la breĉo inter tio, kion la regulo faras, kaj tio, kion homoj kredas, ke ĝi faras. Blokado rifuzas adreson. Konto identigas uzanton. Tenu tiujn frazojn aparte en la bileto, kaj la sekva regulo estos pli facile defendebla.