Kial blokado de VPN-pordoj ne haltigas nepermesitajn tunelojn

Fajroŝirmila regulo rifuzas la trafikon, kiun ĝi kongruas. Ĝi ne rifuzas ĉiun uzon de konekto, kiun ĝi permesas, kaj en tiu breĉo la plej multaj politikoj kontraŭ nepermesitaj tuneloj malsukcesas. Bloki la pordojn de la kliento, kiu estis populara antaŭ kvin jaroj, lasas netuŝita ĉion, kio iras tra 443, kaj diras nenion pri aparato, kiu povas reskribi siajn proprajn vojojn. Konstruu la regadon ĉirkaŭ aŭtoritato kaj celoj, poste legu la fluojn, kiujn vi efektive permesas.

Kial portlisto ne estas politiko

Pordoj estas koncepto de la transporta tavolo, kaj pluraj tunelaj teknologioj tute ne uzas ilin. Aliaj intence kunhavas pordon kun ordinara rettrafiko, ĉar tiu pordo estas la garantie trapasebla. Regulo bazita sur historia pordo do listigas manplenon da efektivigoj anstataŭ la kondutklason. Ĝi ankaŭ maljuniĝas malbone: en la momento, kiam provizanto ŝanĝas defaŭltojn, la listo priskribas la pasintecon.

Eĉ pli malbone, sukcesa blokado de unu pordo povas esti legata kiel pruvo, ke la tuta problemo solviĝis, kio poste prokrastas la regadojn, kiuj gravas.

Protokolaj numeroj kaj pordoj estas malsamaj nomspacoj

GRE ricevas la IP-protokolan numeron 47. Ĝi ne estas TCP-pordo 47 kaj ne UDP-pordo 47, kaj filtrilo skribita por pordo ne tuŝas ĝin. ESP kaj AH situas sur protokolaj numeroj 50 kaj 51 kun la sama eco. Enkapsuligita trafiko ankaŭ povas kaŝiĝi ene de permesita konekto, tial kategorio aŭ subskribo povas helpi, sed neniam mem certigas la celon. Fido kaj kovrado apartenas al specifa produkto kaj eldono, ne al la koncepto.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

La unua komando montras, kion vi efektive skribis; la dua montras la protokolan tabelon, kiun la stako konas; la tria montras, kiom da sesioj nun uzas la retpordon. Neniu el ili diras, por kio tiuj sesioj estas. TLS-interkaptado estas aparta decido kun propraj kostoj de fido, privateco kaj klienta kongruo. Ĝi ne estas antaŭkondiĉo por rifuzi nomitan celon, kaj ĝi ankaŭ ne estas garantio de tunela rekono.

Regu la aŭtoritaton, kiun la aparato havas

Aparato, kiu povas ŝanĝi sian propran enkursigan tabelon kaj filtradon, havas kapablojn, kiujn ordinara aplikaĵo ne havas. Enira kaj agorda administrado estas tio, kio forigas tiun kapablon, kaj ĝi agas sendepende de tio, kiun pordon la tunelo uzus.

Tio signifas, ke aprobitaj konektaĵoj ricevas sian deklaritajn rolojn anstataŭ senliman permeson plusendi por aliaj aparatoj, kaj ĝi signifas, ke instalaj kaj retadministraj rajtoj estas parto de la politiko anstataŭ postpenso.

Observu la fluojn, kiuj restas. Korelaciu aparatan identecon, asignitan rolon kaj fluan metadatenon, kaj traktu klasifikadon kiel pruvon kun limoj anstataŭ kiel verdikton.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Longdaŭra ĉifrita sesio aŭ granda bitoka nombro ne estas pruvo de misuzo: sekurkopioj, subtenaj iloj kaj interejaj ligoj aspektas same. Limigu la kolektadon al la enketo kaj konservu tion, kion vi trovas, sub la procezo, kiu posedas ĝin.

Faru la esceptojn eksplicitaj

Ĉiu medio havas celojn, kiuj devas resti atingeblaj por ĝisdatigoj, aŭtentigo kaj restarigo. Skribu ilin kun celo kaj respondeculo, kaj reviziu ilin anstataŭ malkovri ilin unu paneon post la alia.

Kiam la entrepreno vere permesas vastan eksteran servon, taksu la aŭtoritaton, kiun tiu servo liveras, anstataŭ supozi, ke la cellabelo igas ĉiun uzon akceptebla.

Nereviziita escepto estas truo kun biletnombro. Escepto kun nomo, kialo kaj revizidato estas decido.

Akceptu per skriba plano, ne per slogano

Akcepto havas du duonojn: la aprobita laboro ankoraŭ sukcesas, kaj la specifaj malpermesitaj kazoj malsukcesas en rajtigita testo. Ambaŭ devas esti skribitaj antaŭ la ŝanĝo kaj ripetitaj post ĝi.

Inkluzivu finpunktaĵojn kaj politikajn ŝanĝojn en tiu revizio, ĉar vojo aldonita sur tekkomputilo povas nuligi filtrilon, kiu perfekte funkciis ĉe la rando.

La liveraĵo estas posedata elireja limo kun konata listo de restanta risko. Aserti, ke kelkaj fermitaj pordoj finis nepermesitan VPN-uzon, ne estas tio.