Wêrom it blokkearjen fan VPN-poarten gjin ûngeautoriseare tunnels stopet

In firewallregel weigert it ferkear dat er oanpast. Hy weigert net elk gebrûk fan in ferbining dy't er tastiet, en krekt yn dy kleau mislearje de measte beliedsregels tsjin ûngeautoriseare tunnels. It blokkearjen fan de poarten fan hokker klant dan ek fiif jier lyn populêr wie, lit alles dat oer 443 rydt ûnoantaast, en it seit neat oer in apparaat dat syn eigen rûtes weromskriuwe kin. Bou de kontrôle om foech en bestimmingen hinne, en lês dan de streams dy't jo feitlik tastiet.

Wêrom in poartelist gjin belied is

Poarten binne in konsept fan de transportlaach, en ferskate tunneltechnologyen brûke der hielendal gjin. Oaren diele mei opsetsin in poart mei gewoan webferkear, om't dy poart dejinge is dy't garandearre trochkomt. In regel dy't op in histoaryske poart basearre is, somt dêrom in hantsjefol ymplemintaasjes op ynstee fan de gedrachsklasse. Hy ferâldert ek min: sadree't in oanbieder standertwearden feroaret, beskriuwt de list it ferline.

Earmer noch, in slagge blokkade op ien poart kin lêzen wurde as bewiis dat it hiele probleem oplost is, wat dan de kontrôles fertraget dy't echt fan belang wiene.

Protokolnûmers en poarten binne ferskillende nammeromten

GRE krijt IP-protokolnûmer 47 tawiisd. It is gjin TCP-poart 47 en gjin UDP-poart 47, en in filter dat foar in poart skreaun is, rekket it net. ESP en AH sitte op protokolnûmers 50 en 51 mei deselde eigenskip. Ynkapsele ferkear kin him ek yn in tastiene ferbining ferskûlje, en dêrom kin in kategory of hantekening helpe, mar nea it doel op himsels sertifisearje. Betrouwen en dekking hearre by in spesifyk produkt en in spesifike ferzje, net by it konsept.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

It earste kommando lit sjen wat jo echt skreaun hawwe; it twadde toant de protokoltabel dy't de stack ken; it tredde toant hoefolle sesjes op dit stuit de webpoart brûke. Gjin fan harren fertelt wêr't dy sesjes foar binne. TLS-ûnderskepping is in aparte beslissing mei eigen kosten foar betrouwen, privacy en klantkompatibiliteit. It is gjin betingst om in neamde bestimming te weigerjen, en it is ek gjin garânsje dat tunnels werkenne wurde.

Behearsje de foech dy't it apparaat hat

In apparaat dat syn eigen routingtabel en filtering feroarje kin, hat mooglikheden dy't in gewoane tapassing net hat. Talittings- en konfiguraasjebehear is wat dy mooglikheid weinimt, en se wurkje likegoed hokker poart de tunnel ek brûke soe.

Dat betsjut dat goedkarde oanslutings har ferklearre rol krije ynstee fan ûnbeheinde tastimming om foar oare apparaten troch te stjoeren, en it betsjut dat ynstallaasje- en netwurkbehear-rjochten part fan it belied binne ynstee fan in neitins.

Observearje de streams dy't oerbliuwe. Korreléarje apparaatidentiteit, tawiisde rol en streammetadata, en behannelje klassifikaasje as bewiis mei grinzen ynstee fan as fûnis.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

In langduorjende fersifere sesje of in grut tal bytes is gjin bewiis fan misbrûk: back-ups, stipe-ark en sideferbiningen sjogge der itselde út. Hâld de samling beheind ta it ûndersyk en bewarje wat jo fine ûnder it proses dat der eigner fan is.

Meitsje de útsûnderings eksplisyt

Elke omjouwing hat bestimmingen dy't berikber bliuwe moatte foar updates, autentikaasje en werstel. Skriuw se op mei in doel en in eigner, en beoardielje se ynstee fan se ien steuring tagelyk te ûntdekken.

As it bedriuw echt in brede eksterne tsjinst tastiet, beoardielje dan de foech dy't dy tsjinst leveret ynstee fan oan te nimmen dat it bestimmingslabel elk gebrûk akseptabel makket.

In net-beoardiele útsûndering is in gat mei in ticketnûmer. In útsûndering mei in namme, in reden en in beoardielingsdatum is in beslissing.

Akseptearje mei in skriftlik plan, net mei in slogan

Akseptaasje hat twa helten: it goedkarde wurk slagget noch altyd, en de spesifike ferbeane gefallen mislearje ûnder in autorisearre test. Beide moatte foar de feroaring skreaun wurde en dêrnei werhelle.

Nim endpoint- en beliedsferoarings op yn dy beoardieling, want in rûte dy't op in laptop tafoege wurdt kin in filter ûngedien meitsje dy't oan de râne perfekt wurke.

De levering is in eigen útgongsgrins mei in bekende list fan oerbliuwend risiko. Bewearje dat in pear sletten poarten in ein makken oan ûngeautoriseare VPN-brûk, is dat net.