In VPN-útgong blokkearje blokkeart in adres, net in persoan

Immen set it útgongsadres fan in VPN-oanbieder op in blokkearlist, en it misbrûk stoppet foar in dei. Dan tsjinnet in klant dy’t tafallich deselde oanbieder brûkt in ticket yn, en de regel blykt breder te wêzen as dat immen beskreau. De blokkade wie altyd in beslissing oer in adres; it probleem is dat it ferkocht waard as in beslissing oer in identiteit. Skied de beide foar’t jo de folgjende regel skriuwe.

De regel dy’t jo hanthavenje kinne giet oer in boarneadres

In firewallregel komt oerien mei in fjild yn it pakket, en it fjild dat jo oerienkomme litte is it boarneadres. Dy regel kin ferkear fan dat adres betrouber wegerje, wat in echt en nuttich effekt is. Hy kin jo net fertelle wa’t it pakket stjoerd hat, hokker brûkersnamme brûkt is of oft it deselde persoan is dy’t it probleem fan juster feroarsake hat. De regel skriuwe is maklik; beskriuwe wat er bewiist is wêr’t teams de flater yngean.

As it doel is om in beskaat gedrach te stopjen, is in adresregel in stomp ynstrumint dat tafallich beskikber is. As it doel is om in brûker te identifisearjen, is it adres it ferkearde bewiis en is de autentikaasje fan de applikaasje it goede. Beslis hokker doel jo hawwe foar’t de regel yn produksje giet.

Wat in registraasje-opfraach jo echt fertelt

In registeropfreach jout de tawizing en de kontaktpersoanen dy’t foar in netwurk registrearre binne. It listet de tsjinsten net op dy’t op elk adres rinne, en it fertelt jo net hokker hierder in fersyk stjoerd hat. Sels in lyts registrearre blok kin net-relatearre wurklasten fan ferskate klanten befetsje.

dig +short exit.example.net
whois 203.0.113.0 | head -40

It oplossen fan in útgongshostnamme jout jo de adressen dy’t op dat stuit weromjûn wurde, dat is in momintopname en gjin ynventaris. Ien antwurd útwreidzje nei it hiele hostingprefiks is in aparte beslissing mei in breder effektberik, net in folsleinere ferzje fan itselde bewiis. As jo in ûnderholden klassifikaasjefeed brûke, is it label in gissing mei bekende flaters yn beide rjochtingen. It is gjin autentikaasje, en it is gjin list fan minsken.

Stop as de foarstelde regel allinnich troch in opfraach rjochtfeardige wurdt. In momintopname is gjin berikbeslissing.

Dielde útgongen en kollaterale skea

In dielde útgong draacht in soad brûkers, en dield adresromte betsjut dat ien iepenbier adres in hiele groep abonnees fertsjintwurdigje kin. It blokkearjen derfan rekket har allegear, ek dyjingen sûnder ferbining mei it misbrûk. Utwreidzje nei it omlizzende prefiks fermannichfâldiget dat effekt en fergruttet de kâns dat in net-relatearre tsjinst fongen wurdt. De kollaterale skea is gjin by-effekt om letter te notearjen; it is diel fan de definysje fan de regel.

Pakketbewizen hawwe har eigen grinzen. In boarneadres yn in isolearre SYN kin ferfalske wurde, dat it pakket stelt net fêst wa’t eat begûn is. In healiepen ferbiningstastân lit sjen dat in ferbining begûn is, net dat de oare part skuldich is oan in refleksje-oanfal. In ôfsletten ferbining seit wat oars as in applikaasjelog, en in autentisearre sesje neamt in brûkersnamme dy’t gjin fan beide neamt.

Kies it smelste berik dat it belied tastiet, en skriuw op wa’t ferwachte wurdt by fersin fongen te wurden.

Bewizen om fêst te lizzen, en in wei werom foar brûkers

Elke adresregel heart de waarnimming te dragen dy’t him rjochtfeardige, de datum, it berik en in kontrôlepunt. Krekt dy registraasje makket it foar de folgjende persoan mooglik om de regel te ferlytsjen ynstee fan te rieden wêrom’t er bestiet. Sûnder dat wurdt in tydlike blokkade permaninte ynfrastruktuer.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Beslis hoe’t in legitime brûker tagong weromkrijt foar’t jo de blokkade útrôlje, want in stipewachtrij is gjin herstelplan. In beswierwei, in dokumintearre útsûndering of in oare tagongsmethode wurkje; minsken fertelle dat se har VPN net mear brûke moatte wurket net. Keppelje de netwurkregel oan kontrôles dy’t by it gedrach passe: taryflimiten, strangere accountrjochten of hanthavening binnen de tsjinst sels. In VPN-útgongsblokkade kin net-winske ferkear ferminderje sûnder him foar te dwaan as in brûkersgids.

It symptoom dat jo yn it each hâlde moatte is it gat tusken wat de regel docht en wat minsken leauwe dat er docht. In blokkade wegeret in adres. In brûkersnamme identifisearret in brûker. Hâld dy sinnen apart yn it ticket, en de folgjende regel sil makliker te ferdigenjen wêze.