Por que bloquear os portos de VPN non detén os túneles non autorizados

Unha regra de cortalumes denega o tráfico co que coincide. Non denega todos os usos dunha conexión que permite, e esa fenda é onde fallan a maioría das políticas contra túneles non autorizados. Bloquear os portos do cliente que fose popular hai cinco anos deixa intacto todo o que viaxa polo 443, e non di nada sobre un dispositivo que pode reescribir as súas propias rutas. Constrúa o control arredor da autoridade e dos destinos, e despois lea os fluxos que realmente permite.

Por que unha lista de portos non é unha política

Os portos son un concepto da capa de transporte, e varias tecnoloxías de túnel non usan ningún. Outras comparten deliberadamente un porto co tráfico web ordinario porque ese porto é o que ten garantido o paso. Unha regra baseada nun porto histórico enumera, polo tanto, unha manchea de implementacións en lugar da clase de comportamento. Tamén envellece mal: no momento en que un provedor cambia os valores predeterminados, a lista describe o pasado.

Peor aínda, un bloqueo exitoso nun porto pode lerse como proba de que todo o problema está resolto, o que atrasa os controis que si terían importado.

Os números de protocolo e os portos son espazos de nomes distintos

A GRE asígnaselle o número de protocolo IP 47. Non é o porto TCP 47 nin o porto UDP 47, e un filtro escrito para un porto non o toca. ESP e AH ocupan os números de protocolo 50 e 51 coa mesma propiedade. O tráfico encapsulado tamén se pode agochar dentro dunha conexión permitida, por iso unha categoría ou sinatura pode axudar, pero nunca certifica o propósito por si soa. A confianza e a cobertura pertencen a un produto e unha versión concretos, non ao concepto.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

O primeiro comando mostra o que realmente escribiu; o segundo mostra a táboa de protocolos que coñece a pila; o terceiro mostra cantas sesións están usando o porto web agora mesmo. Ningún deles di para que serven esas sesións. A interceptación de TLS é unha decisión aparte cos seus propios custos de confianza, privacidade e compatibilidade cos clientes. Non é un requisito previo para denegar un destino con nome, e tampouco é unha garantía de recoñecemento de túneles.

Controle a autoridade que ten o dispositivo

Un dispositivo que pode cambiar a súa propia táboa de encamiñamento e o seu filtrado ten capacidades que unha aplicación ordinaria non ten. A xestión de admisión e de configuración é o que elimina esa capacidade, e actúa con independencia do porto que fose usar o túnel.

Isto significa que os anexos aprobados reciben o seu rol declarado en lugar de permiso sen restricións para reenviar por outros dispositivos, e significa que os dereitos de instalación e de administración de rede forman parte da política en lugar de ser un engadido.

Observe os fluxos que quedan. Correlacione a identidade do dispositivo, o rol asignado e os metadatos do fluxo, e trate a clasificación como evidencia con límites en lugar de como veredicto.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Unha sesión cifrada de longa duración ou un gran reconto de bytes non son proba de uso indebido: as copias de seguridade, as ferramentas de soporte e as ligazóns entre sedes vense igual. Manteña a recollida limitada á investigación e conserve o que atope baixo o proceso que o posúe.

Faga explícitas as excepcións

Cada contorno ten destinos que deben seguir sendo accesibles para actualizacións, autenticación e recuperación. Anóteos cun propósito e un responsable, e revíseos en lugar de descubrilos unha caída tras outra.

Cando o negocio permite de verdade un servizo externo amplo, avalíe a autoridade que ese servizo proporciona en lugar de supor que a etiqueta do destino fai aceptable calquera uso.

Unha excepción non revisada é un burato cun número de ticket. Unha excepción cun nome, un motivo e unha data de revisión é unha decisión.

Acepte cun plan escrito, non cun eslogan

A aceptación ten dúas metades: o traballo aprobado segue tendo éxito, e os casos prohibidos concretos fallan nunha proba autorizada. Ambas deben escribirse antes do cambio e repetirse despois.

Inclúa os cambios de punto final e de política nesa revisión, porque unha ruta engadida nun portátil pode desfacer un filtro que funcionaba perfectamente na borde.

O entregable é un límite de saída con propietario e unha lista coñecida de risco restante. Afirmar que uns cantos portos pechados acabaron co uso non autorizado de VPN non é iso.