Bloquear una salida VPN bloquea una dirección, no a una persona

Alguien añade la dirección de salida de un proveedor de VPN a una lista de denegación, y el abuso se detiene durante un día. Después, un cliente que casualmente usa el mismo proveedor abre un ticket, y la regla resulta ser más amplia de lo que nadie describió. El bloqueo siempre fue una decisión sobre una dirección; el problema es que se vendió como una decisión sobre una identidad. Separe ambas cosas antes de escribir la siguiente regla.

La regla que puede aplicar trata de una dirección de origen

Una regla de cortafuegos coincide con un campo del paquete, y el campo con el que coincide es la dirección de origen. Esa regla puede rechazar de forma fiable el tráfico de esa dirección, lo que es un efecto real y útil. No puede decirle quién envió el paquete, qué cuenta se usó ni si es la misma persona que causó el problema de ayer. Escribir la regla es fácil; describir qué demuestra es donde los equipos se equivocan.

Si el objetivo es detener un comportamiento concreto, una regla de dirección es un instrumento contundente que resulta estar disponible. Si el objetivo es identificar a un usuario, la dirección es la prueba equivocada y la autenticación de la aplicación es la correcta. Decida qué objetivo tiene antes de que la regla entre en producción.

Qué le dice realmente una consulta al registro

Una consulta al registro devuelve la asignación y los contactos registrados para una red. No enumera los servicios que se ejecutan en cada dirección y no le dice qué inquilino envió una solicitud. Incluso un bloque registrado pequeño puede contener cargas de trabajo no relacionadas de distintos clientes.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Resolver un nombre de host de salida le da las direcciones devueltas en ese momento, lo que es una instantánea y no un inventario. Ampliar una respuesta a todo el prefijo de alojamiento es una decisión aparte con un radio de impacto mayor, no una versión más completa de la misma prueba. Si usa un flujo de clasificación mantenido, su etiqueta es una conjetura con errores conocidos en ambas direcciones. No es autenticación y no es una lista de personas.

Deténgase si la regla propuesta se justifica solo con una consulta. Una instantánea no es una decisión de alcance.

Salidas compartidas y daños colaterales

Una salida compartida transporta a muchos usuarios, y espacio de direcciones compartido significa que una dirección pública puede representar a todo un grupo de abonados. Bloquearla afecta a todos ellos, incluidos los que no tienen relación alguna con el abuso. Ampliar el bloqueo al prefijo circundante multiplica ese efecto y aumenta la probabilidad de que se atrape un servicio no relacionado. El daño colateral no es un efecto secundario que se anota después; forma parte de la definición de la regla.

Las pruebas de paquetes tienen sus propios límites. Una dirección de origen en un SYN aislado puede falsificarse, así que el paquete no establece quién inició nada. Un estado de conexión entreabierta muestra que comenzó un saludo, no que la otra parte sea culpable de un ataque de reflexión. Una conexión terminada dice algo distinto de un registro de aplicación, y una sesión autenticada nombra una cuenta que ninguno de los dos nombra.

Elija el alcance más estrecho que permita la política y anote a quién se espera atrapar por error.

Pruebas que registrar y una vía de retorno para los usuarios

Cada regla de dirección debería llevar la observación que la justificó, la fecha, el alcance y un punto de revisión. Ese registro es lo que permite a la siguiente persona reducir la regla en lugar de adivinar por qué existe. Sin él, un bloqueo temporal se convierte en infraestructura permanente.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Decida cómo recupera el acceso un usuario legítimo antes de desplegar el bloqueo, porque una cola de soporte no es un plan de recuperación. Una vía de apelación, una excepción documentada o un método de acceso distinto funcionan; decirle a la gente que deje de usar su VPN no funciona. Combine la regla de red con controles que encajen con el comportamiento: límites de velocidad, permisos de cuenta más estrictos o aplicación dentro del propio servicio. Un bloqueo de salida VPN puede reducir el tráfico no deseado sin pretender ser un directorio de usuarios.

El síntoma que hay que mantener a la vista es la distancia entre lo que hace la regla y lo que la gente cree que hace. Un bloqueo rechaza una dirección. Una cuenta identifica a un usuario. Mantenga esas frases separadas en el ticket y la siguiente regla será más fácil de defender.