مسدود کردن خروجی VPN یک نشانی را مسدود می‌کند، نه یک شخص را

کسی نشانی خروجی یک ارائه‌دهنده VPN را به فهرست ممنوعه اضافه می‌کند و سوءاستفاده برای یک روز متوقف می‌شود. سپس مشتری‌ای که تصادفاً از همان ارائه‌دهنده استفاده می‌کند تیکتی باز می‌کند و معلوم می‌شود قاعده گسترده‌تر از آن است که کسی توصیف کرده بود. این مسدودسازی همیشه تصمیمی درباره نشانی بود؛ مشکل این است که آن را به‌عنوان تصمیمی درباره هویت فروختند. پیش از نوشتن قاعده بعدی، این دو را از هم جدا کنید.

قاعده‌ای که می‌توانید اجرا کنید درباره نشانی مبدأ است

قاعده فایروال با یک فیلد در بسته تطبیق می‌یابد و فیلدی که تطبیق می‌دهید نشانی مبدأ است. آن قاعده می‌تواند ترافیک از آن نشانی را به‌طور قابل اتکا رد کند، که اثری واقعی و سودمند است. اما نمی‌تواند بگوید بسته را چه کسی فرستاده، چه حسابی استفاده شده یا آیا همان کسی است که مشکل دیروز را ایجاد کرده. نوشتن قاعده آسان است؛ توصیف اینکه چه چیزی را اثبات می‌کند جایی است که تیم‌ها اشتباه می‌کنند.

اگر هدف توقف رفتاری مشخص است، قاعده نشانی ابزاری کند است که تصادفاً در دسترس است. اگر هدف شناسایی کاربر است، نشانی شاهد اشتباه است و احراز هویت برنامه شاهد درست. پیش از رفتن قاعده به محیط عملیاتی، هدف خود را مشخص کنید.

جست‌وجوی ثبت‌نام در واقع چه چیزی به شما می‌گوید

جست‌وجو در ثبت، تخصیص و مخاطبان ثبت‌شده برای یک شبکه را برمی‌گرداند. سرویس‌های در حال اجرا روی هر نشانی را فهرست نمی‌کند و نمی‌گوید کدام مستأجر درخواستی فرستاده است. حتی یک بلوک ثبت‌شده کوچک می‌تواند بارهای کاری بی‌ارتباط از مشتریان مختلف داشته باشد.

dig +short exit.example.net
whois 203.0.113.0 | head -40

حل نام میزبان خروجی نشانی‌هایی را به شما می‌دهد که در آن لحظه بازگردانده شده‌اند، که یک عکس لحظه‌ای است نه فهرست کامل. گسترش یک پاسخ به کل پیشوند میزبانی تصمیمی جداگانه با شعاع اثر بزرگ‌تر است، نه نسخه کامل‌تر همان شاهد. اگر از خوراک دسته‌بندی نگهداری‌شده استفاده می‌کنید، برچسب آن حدسی است با خطاهای شناخته‌شده در هر دو جهت. این احراز هویت نیست و فهرست افراد هم نیست.

اگر قاعده پیشنهادی تنها با یک جست‌وجو توجیه می‌شود، توقف کنید. عکس لحظه‌ای تصمیم دامنه نیست.

خروجی‌های مشترک و آسیب جانبی

خروجی مشترک کاربران بسیاری را حمل می‌کند و فضای نشانی مشترک یعنی یک نشانی عمومی می‌تواند نماینده یک گروه کامل از مشترکان باشد. مسدود کردن آن همه را تحت تأثیر قرار می‌دهد، از جمله کسانی که هیچ ارتباطی با سوءاستفاده ندارند. گسترش به پیشوند پیرامون آن اثر را چند برابر می‌کند و احتمال گرفتار شدن یک سرویس بی‌ارتباط را بالا می‌برد. آسیب جانبی یک عارضه جانبی برای ثبت در آینده نیست؛ بخشی از تعریف قاعده است.

شواهد بسته محدودیت‌های خود را دارد. نشانی مبدأ در یک SYN منفرد می‌تواند جعل شود، پس بسته ثابت نمی‌کند چه کسی چیزی را آغاز کرده. وضعیت اتصال نیمه‌باز نشان می‌دهد دست‌دادن آغاز شده، نه اینکه طرف مقابل در حمله بازتابی مقصر است. اتصال پایان‌یافته چیزی متفاوت از گزارش برنامه می‌گوید و نشست احراز هویت‌شده حسابی را نام می‌برد که هیچ‌یک از آن دو نام نمی‌برد.

تنگ‌ترین دامنه‌ای را که سیاست اجازه می‌دهد انتخاب کنید و بنویسید انتظار می‌رود چه کسی به اشتباه گرفتار شود.

شواهدی که باید ثبت شود و راه بازگشت برای کاربران

هر قاعده نشانی باید مشاهده‌ای که آن را توجیه کرد، تاریخ، دامنه و نقطه بازبینی را همراه داشته باشد. همان ثبت است که به نفر بعدی اجازه می‌دهد قاعده را کوچک کند به‌جای اینکه حدس بزند چرا وجود دارد. بدون آن، مسدودسازی موقت به زیرساخت دائمی تبدیل می‌شود.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

پیش از استقرار مسدودسازی تصمیم بگیرید کاربر مشروع چگونه دسترسی را بازیابی می‌کند، چون صف پشتیبانی برنامه بازیابی نیست. مسیر اعتراض، استثنای مستند یا روش دسترسی متفاوت همه کار می‌کنند؛ گفتن به مردم که VPN خود را کنار بگذارند کار نمی‌کند. قاعده شبکه را با کنترل‌هایی جفت کنید که با رفتار سازگارند: محدودیت نرخ، مجوزهای سخت‌گیرانه‌تر حساب یا اعمال درون خود سرویس. مسدودسازی خروجی VPN می‌تواند ترافیک ناخواسته را کاهش دهد بی‌آنکه خود را فهرست کاربران جا بزند.

نشانه‌ای که باید در نظر داشته باشید فاصله میان کاری است که قاعده می‌کند و آنچه مردم باور دارند می‌کند. مسدودسازی یک نشانی را رد می‌کند. حساب یک کاربر را شناسایی می‌کند. این جمله‌ها را در تیکت جدا نگه دارید تا دفاع از قاعده بعدی آسان‌تر شود.