Miks VPN-portide blokeerimine ei peata volitamata tunneleid

Tulemüürireegel keelab liikluse, millele see vastab. See ei keela igasugust lubatud ühenduse kasutust, ja just selles lüngas ebaõnnestub enamik volitamata tunnelite vastaseid poliitikaid. Viis aastat tagasi populaarse kliendi portide blokeerimine jätab puutumata kõik, mis liigub üle 443, ega ütle midagi seadme kohta, mis suudab oma marsruudid ümber kirjutada. Ehitage kontroll volituste ja sihtkohtade ümber ning seejärel lugege vooge, mida te tegelikult lubate.

Miks pordiloend ei ole poliitika

Pordid on transpordikihi mõiste ja mitmed tunnelitehnoloogiad ei kasuta neid üldse. Teised jagavad teadlikult porti tavalise veebiliiklusega, sest see port on see, mis on garanteeritult läbilaskev. Ajaloolisele pordile tuginev reegel loetleb seega peotäie implementatsioone, mitte käitumisklassi. See vananeb ka halvasti: hetkest, mil teenusepakkuja muudab vaikeväärtusi, kirjeldab loend minevikku.

Veelgi hullem, ühe pordi edukat blokeerimist võib lugeda tõendiks, et kogu probleem on lahendatud, mis seejärel lükkab edasi kontrolle, mis oleksid tegelikult tähtsad.

Protokollinumbrid ja pordid on erinevad nimeruumid

GRE-le on määratud IP-protokolli number 47. See ei ole TCP port 47 ega UDP port 47 ning pordi jaoks kirjutatud filter ei puuduta seda. ESP ja AH asuvad protokollinumbritel 50 ja 51 sama omadusega. Kapseldatud liiklus võib peituda ka lubatud ühenduse sees, mistõttu kategooria või allkiri võib aidata, kuid ei tõenda kunagi eesmärki iseenesest. Usaldus ja katvus kuuluvad konkreetse toote ja väljaande juurde, mitte kontseptsiooni juurde.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Esimene käsk näitab, mida te tegelikult kirjutasite; teine näitab protokollitabelit, mida pinu tunneb; kolmas näitab, kui palju sessioone kasutab praegu veebiporti. Ükski neist ei ütle, milleks need sessioonid on. TLS-i pealtkuulamine on eraldi otsus, millel on oma usalduse, privaatsuse ja kliendiga ühilduvuse kulud. See ei ole nimetatud sihtkoha keelamise eeltingimus ega ka tunnelite tuvastamise garantii.

Kontrollige seadme volitusi

Seadmel, mis suudab muuta oma marsruutimistabelit ja filtreerimist, on võimed, mida tavalisel rakendusel ei ole. Vastuvõtu- ja konfiguratsioonihaldus on see, mis selle võime eemaldab, ja see toimib olenemata sellest, millist porti tunnel kasutaks.

See tähendab, et kinnitatud ühendused saavad oma deklareeritud rolli, mitte piiramatu loa teiste seadmete eest edasi suunata, ja see tähendab, et paigaldus- ja võrguadministreerimisõigused on poliitika osa, mitte järelmõte.

Jälgige vooge, mis jäävad. Korrelleerige seadme identiteet, määratud roll ja voo metaandmed ning käsitlege klassifitseerimist piirangutega tõendina, mitte otsusena.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Pikaajaline krüptitud sessioon või suur baidiarv ei ole väärkasutuse tõend: varukoopiad, tugitööriistad ja saidiühendused näevad ühesugused välja. Hoidke kogumine juurdlusega piiratud ja säilitage leitu protsessi all, millele see kuulub.

Tehke erandid selgesõnaliseks

Igal keskkonnal on sihtkohad, mis peavad jääma kättesaadavaks uuenduste, autentimise ja taastamise jaoks. Kirjutage need üles eesmärgi ja omanikuga ning vaadake need üle, selle asemel et neid üks katkestus korraga avastada.

Kui ettevõte tõesti lubab laia välist teenust, hinnake volitusi, mida see teenus pakub, selle asemel et eeldada, et sihtkoha silt muudab iga kasutuse vastuvõetavaks.

Ülevaatamata erand on auk, millel on piletinumber. Erand, millel on nimi, põhjus ja ülevaatamise kuupäev, on otsus.

Võtke vastu kirjaliku plaaniga, mitte loosungiga

Vastuvõtul on kaks poolt: kinnitatud töö õnnestub endiselt ja konkreetsed keelatud juhtumid ebaõnnestuvad volitatud testis. Mõlemad tuleb enne muudatust kirja panna ja pärast seda korrata.

Lisage sellesse ülevaatamisse lõpp-punkti ja poliitika muudatused, sest sülearvutisse lisatud marsruut võib tühistada filtri, mis servas täiuslikult töötas.

Tulemuseks on omandatud väljundpiir, millel on teadaolev järelejäänud riskide loend. Väita, et paar suletud porti lõpetas volitamata VPN-i kasutuse, ei ole see.