Bloquear unha saída VPN bloquea un enderezo, non unha persoa

Alguén engade o enderezo de saída dun provedor de VPN a unha lista de denegación, e o abuso detense durante un día. Despois, un cliente que casualmente usa o mesmo provedor abre un tícket, e a regra resulta ser máis ampla do que ninguén describira. O bloqueo sempre foi unha decisión sobre un enderezo; o problema é que se vendeu como unha decisión sobre unha identidade. Separe as dúas cousas antes de escribir a seguinte regra.

A regra que pode aplicar trata dun enderezo de orixe

Unha regra de devasado coincide cun campo do paquete, e o campo co que coincide é o enderezo de orixe. Esa regra pode rexeitar de forma fiable o tráfico dese enderezo, o que é un efecto real e útil. Non pode dicirlle quen enviou o paquete, que conta se usou nin se é a mesma persoa que causou o problema de onte. Escribir a regra é doado; describir o que demostra é onde os equipos se equivocan.

Se o obxectivo é deter un comportamento concreto, unha regra de enderezo é un instrumento contundente que resulta estar dispoñible. Se o obxectivo é identificar un usuario, o enderezo é a proba equivocada e a autenticación da aplicación é a correcta. Decida que obxectivo ten antes de que a regra entre en produción.

Que lle di realmente unha consulta ao rexistro

Unha consulta ao rexistro devolve a asignación e os contactos rexistrados para unha rede. Non enumera os servizos que se executan en cada enderezo e non lle di que inquilino enviou unha solicitude. Mesmo un bloque rexistrado pequeno pode conter cargas de traballo non relacionadas de distintos clientes.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Resolver un nome de host de saída dálle os enderezos devoltos nese momento, o que é unha instantánea e non un inventario. Ampliar unha resposta a todo o prefixo de aloxamento é unha decisión aparte cun radio de impacto maior, non unha versión máis completa da mesma proba. Se usa un fluxo de clasificación mantido, a súa etiqueta é unha conxectura con erros coñecidos en ambas as direccións. Non é autenticación e non é unha lista de persoas.

Detéñase se a regra proposta só se xustifica cunha consulta. Unha instantánea non é unha decisión de alcance.

Saídas compartidas e danos colaterais

Unha saída compartida transporta moitos usuarios, e espazo de enderezos compartido significa que un enderezo público pode representar todo un grupo de subscritores. Bloqueala afecta a todos eles, incluídos os que non teñen relación ningunha co abuso. Ampliar o bloqueo ao prefixo circundante multiplica ese efecto e aumenta a probabilidade de que se atrape un servizo non relacionado. O dano colateral non é un efecto secundario que se anota despois; forma parte da definición da regra.

As probas de paquetes teñen os seus propios límites. Un enderezo de orixe nun SYN illado pódese falsificar, así que o paquete non establece quen iniciou nada. Un estado de conexión semiaberta mostra que comezou un saúdo, non que a outra parte sexa culpable dun ataque de reflexión. Unha conexión terminada di algo distinto dun rexistro de aplicación, e unha sesión autenticada nomea unha conta que ningún dos dous nomea.

Escolla o alcance máis estreito que permita a política e anote quen se espera que quede atrapado por erro.

Probas que rexistrar e unha vía de retorno para os usuarios

Cada regra de enderezo debería levar a observación que a xustificou, a data, o alcance e un punto de revisión. Ese rexistro é o que permite á seguinte persoa reducir a regra en lugar de adiviñar por que existe. Sen el, un bloqueo temporal convértese en infraestrutura permanente.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Decida como recupera o acceso un usuario lexítimo antes de despregar o bloqueo, porque unha cola de soporte non é un plan de recuperación. Unha vía de recurso, unha excepción documentada ou un método de acceso distinto funcionan; dicirlle á xente que deixe de usar a súa VPN non funciona. Combine a regra de rede con controis que encaixen co comportamento: límites de velocidade, permisos de conta máis estritos ou aplicación dentro do propio servizo. Un bloqueo de saída VPN pode reducir o tráfico non desexado sen pretender ser un directorio de usuarios.

O síntoma que hai que manter á vista é a distancia entre o que fai a regra e o que a xente cre que fai. Un bloqueo rexeita un enderezo. Unha conta identifica un usuario. Mantén esas frases separadas no tícket e a seguinte regra será máis doada de defender.