VPN-poistumisen estäminen estää osoitteen, ei henkilöä

Joku lisää VPN-palveluntarjoajan poistumisosoitteen estolistalle, ja väärinkäyttö loppuu päiväksi. Sitten asiakas, joka sattuu käyttämään samaa tarjoajaa, avaa tiketin, ja sääntö osoittautuu laajemmaksi kuin kukaan kuvaili. Esto oli aina osoitetta koskeva päätös; ongelma on, että se myytiin identiteettiä koskevana päätöksenä. Erottele nämä kaksi ennen seuraavan säännön kirjoittamista.

Sääntö, jonka voit panna täytäntöön, koskee lähdeosoitetta

Palomuurisääntö täsmää paketin kenttään, ja kenttä, johon täsmäät, on lähdeosoite. Se sääntö voi luotettavasti hylätä liikenteen kyseisestä osoitteesta, mikä on todellinen ja hyödyllinen vaikutus. Se ei voi kertoa, kuka paketin lähetti, mitä tiliä käytettiin tai onko kyse sama henkilö, joka aiheutti eilisen ongelman. Säännön kirjoittaminen on helppoa; sen kuvaaminen, mitä se todistaa, on kohta, jossa tiimit menevät pieleen.

Jos tavoitteena on pysäyttää tietty käyttäytyminen, osoitesääntö on tylppä työkalu, joka sattuu olemaan saatavilla. Jos tavoitteena on tunnistaa käyttäjä, osoite on väärä todiste ja sovelluksen todennus on oikea. Päätä, kumpi tavoite sinulla on, ennen kuin sääntö menee tuotantoon.

Mitä rekisterikysely todella kertoo

Rekisterikysely palauttaa verkolle myönnetyn lohkon ja rekisteröidyt yhteystiedot. Se ei luettele kullakin osoitteella ajettavia palveluja eikä kerro, mikä vuokralainen lähetti pyynnön. Pienikin rekisteröity lohko voi sisältää eri asiakkaiden toisiinsa liittymättömiä työkuormia.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Poistumisen isäntänimen selvittäminen antaa osoitteet, jotka palautettiin sillä hetkellä, eli tilannekuvan eikä luettelon. Yhden vastauksen laajentaminen koko hosting-etuliitteeseen on erillinen päätös, jolla on laajempi vaikutusala, ei saman todisteen täydellisempi versio. Jos käytät ylläpidettyä luokitusvirtaa, sen tunniste on arvaus, jossa on tunnettuja virheitä molempiin suuntiin. Se ei ole todennus eikä luettelo ihmisistä.

Pysähdy, jos ehdotettu sääntö perustellaan pelkällä kyselyllä. Tilannekuva ei ole laajuuspäätös.

Jaetut poistumiset ja sivuvahingot

Jaettu poistuminen kuljettaa monia käyttäjiä, ja jaettu osoiteavaruus tarkoittaa, että yksi julkinen osoite voi edustaa kokonaista tilaajaryhmää. Sen estäminen vaikuttaa kaikkiin heihin, myös niihin, joilla ei ole mitään yhteyttä väärinkäyttöön. Laajentaminen ympäröivään etuliitteeseen moninkertaistaa vaikutuksen ja lisää todennäköisyyttä, että asiaan liittymätön palvelu jää jumiin. Sivuvahinko ei ole jälkikäteen kirjattava sivuvaikutus; se on osa säännön määritelmää.

Pakettitodisteilla on omat rajansa. Yksittäisen SYN-paketin lähdeosoite voidaan väärentää, joten paketti ei vahvista, kuka aloitti mitä. Puoliavoin yhteystila osoittaa, että kättely alkoi, ei että vastapuoli on syyllinen heijastushyökkäykseen. Päättynyt yhteys kertoo jotain muuta kuin sovellusloki, ja todennettu istunto nimeää tilin, jota kumpikaan niistä ei nimeä.

Valitse kapein laajuus, jonka käytäntö sallii, ja kirjoita ylös, kenen odotetaan jäävän vahingossa kiinni.

Kirjattavat todisteet ja paluutie käyttäjille

Jokaisen osoitesäännön tulisi kantaa havainto, joka sen oikeutti, päivämäärä, laajuus ja tarkistuspiste. Juuri se kirjaus mahdollistaa seuraavalle henkilölle säännön kaventamisen sen sijaan, että hän arvailisi, miksi se on olemassa. Ilman sitä väliaikaisesta estosta tulee pysyvä infrastruktuuri.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Päätä, miten laillinen käyttäjä saa pääsyn takaisin, ennen kuin otat eston käyttöön, koska tukijono ei ole palautumissuunnitelma. Valituspolku, dokumentoitu poikkeus tai erilainen pääsytapa toimivat; kehotus lopettaa VPN:n käyttö ei toimi. Yhdistä verkkosääntö käyttäytymiseen sopiviin kontrolleihin: nopeusrajat, tiukemmat tilioikeudet tai valvonta palvelun sisällä. VPN-poistumisen esto voi vähentää ei-toivottua liikennettä teeskentelemättä olevansa käyttäjäluettelo.

Oire, jota kannattaa pitää silmällä, on kuilu sen välillä, mitä sääntö tekee, ja sen välillä, mitä ihmiset uskovat sen tekevän. Esto hylkää osoitteen. Tili tunnistaa käyttäjän. Pidä nuo lauseet erillään tiketissä, niin seuraavaa sääntöä on helpompi puolustaa.