VPN-i väljundi blokeerimine blokeerib aadressi, mitte inimese

Keegi lisab VPN-teenusepakkuja väljundaadressi keelunimekirja ja kuritarvitamine lakkab üheks päevaks. Seejärel esitab pilet kasutaja, kes juhtub sama pakkujat kasutama, ja reegel osutub laiemaks, kui keegi kirjeldas. Blokeering oli alati otsus aadressi kohta; probleem on selles, et seda müüdi otsusena identiteedi kohta. Eraldage need kaks enne järgmise reegli kirjutamist.

Reegel, mida saate jõustada, puudutab lähteaadressi

Tulemüürireegel vastab paketi väljale ja väli, millega vastate, on lähteaadress. See reegel suudab sellelt aadressilt tuleva liikluse usaldusväärselt tagasi lükata, mis on tõeline ja kasulik mõju. See ei saa öelda, kes paketi saatis, millist kontot kasutati või kas tegu on sama inimesega, kes põhjustas eilse probleemi. Reegli kirjutamine on lihtne; kirjeldada, mida see tõestab, on koht, kus meeskonnad eksivad.

Kui eesmärk on peatada kindel käitumine, on aadressireegel nüri vahend, mis juhtub saadaval olema. Kui eesmärk on tuvastada kasutaja, on aadress vale tõend ja rakenduse autentimine on õige. Otsustage, milline eesmärk teil on, enne kui reegel tootmisse läheb.

Mida registripäring tegelikult ütleb

Registripäring tagastab võrgu jaoks eraldatud ploki ja registreeritud kontaktid. See ei loetle igal aadressil töötavaid teenuseid ega ütle, milline rentnik päringu saatis. Isegi väike registreeritud plokk võib sisaldada erinevate klientide omavahel mitteseotud töökoormusi.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Väljundi hostinime lahendamine annab aadressid, mis sel hetkel tagastati, see on hetktõmmis, mitte inventar. Ühe vastuse laiendamine kogu hostimise prefiksile on eraldi otsus laiema mõjualaga, mitte samade tõendite täielikum versioon. Kui kasutate hooldatavat klassifikatsioonivoogu, on selle silt oletus, millel on teadaolevad vead mõlemas suunas. See ei ole autentimine ega inimeste nimekiri.

Peatuge, kui kavandatud reeglit õigustab ainult päring. Hetktõmmis ei ole ulatuse otsus.

Jagatud väljundid ja kõrvalkahju

Jagatud väljund kannab palju kasutajaid ja jagatud aadressiruum tähendab, et üks avalik aadress võib esindada tervet abonentide rühma. Selle blokeerimine mõjutab kõiki neid, sealhulgas neid, kellel pole kuritarvitamisega mingit seost. Ümbritsevale prefiksile laiendamine korrutab selle mõju ja suurendab tõenäosust, et tabatakse mitteseotud teenus. Kõrvalkahju ei ole kõrvalmõju, mida hiljem märkida; see on reegli määratluse osa.

Paketitõenditel on omad piirid. Lähteaadressi üksikus SYN-paketis saab võltsida, seega pakett ei tuvasta, kes midagi algatas. Poolavatud ühenduse olek näitab, et käepigistus algas, mitte et vastaspool on peegeldusrünnakus süüdi. Lõpetatud ühendus ütleb midagi muud kui rakenduse logi ja autenditud sessioon nimetab kontot, mida kumbki neist ei nimeta.

Valige kitsaim ulatus, mida poliitika lubab, ja kirjutage üles, keda eeldatakse eksikombel tabatavat.

Tõendid, mis tuleb kirja panna, ja tagasitee kasutajatele

Iga aadressireegel peaks kandma tähelepanekut, mis seda õigustas, kuupäeva, ulatust ja ülevaatuspunkti. Just see kirje võimaldab järgmisel inimesel reeglit kitsendada, selle asemel et oletada, miks see olemas on. Ilma selleta muutub ajutine blokeering püsivaks infrastruktuuriks.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Otsustage, kuidas seaduslik kasutaja juurdepääsu taastab, enne kui blokeeringu juurutate, sest tugijärjekord ei ole taastamiskava. Vaidlustustee, dokumenteeritud erand või muu juurdepääsumeetod toimivad; inimestele ütlemine, et nad lõpetaksid VPN-i kasutamise, ei toimi. Siduge võrgureegel käitumisele sobivate kontrollidega: kiiruspiirangud, rangemad kontoõigused või jõustamine teenuse sees. VPN-i väljundi blokeering võib vähendada soovimatut liiklust, teeseldes samas mitte kasutajakataloogi.

Sümptom, mida silmas pidada, on lõhe selle vahel, mida reegel teeb, ja selle vahel, mida inimesed usuvad, et see teeb. Blokeering keeldub aadressist. Konto tuvastab kasutaja. Hoidke need laused piletil eraldi ja järgmist reeglit on lihtsam kaitsta.