VPN પોર્ટ બ્લોક કરવાથી અનધિકૃત ટનલ કેમ અટકતી નથી

ફાયરવોલ નિયમ જે ટ્રાફિક સાથે મેળ ખાય છે તેને નકારે છે. તે મંજૂર કરેલા કનેક્શનના દરેક ઉપયોગને નકારતું નથી, અને અનધિકૃત ટનલ સામેની મોટાભાગની નીતિઓ આ જ ખાલી જગ્યામાં નિષ્ફળ જાય છે. પાંચ વર્ષ પહેલાં લોકપ્રિય ક્લાયન્ટના પોર્ટ બ્લોક કરવાથી 443 થઈને જતું બધું અસ્પૃષ્ટ રહે છે, અને જે ઉપકરણ પોતાના રૂટ ફરી લખી શકે છે તેના વિશે કંઈ કહેતું નથી. નિયંત્રણને સત્તા અને ગંતવ્યોની આસપાસ બનાવો, પછી તમે ખરેખર મંજૂરી આપો છો તે પ્રવાહો વાંચો.

પોર્ટ યાદી નીતિ કેમ નથી

પોર્ટ પરિવહન સ્તરની સંકલ્પના છે, અને કેટલીક ટનલ ટેકનોલોજી તેનો જરાય ઉપયોગ કરતી નથી. અન્ય જાણી જોઈને સામાન્ય વેબ ટ્રાફિક સાથે એક પોર્ટ વહેંચે છે, કારણ કે તે પોર્ટ જ છે જેનું પસાર થવું બાંયધરીકૃત છે. તેથી ઐતિહાસિક પોર્ટ પર આધારિત નિયમ મુઠ્ઠીભર અમલીકરણો ગણે છે, વર્તનની શ્રેણી નહીં. તે જલદી જૂનું પણ થાય છે: જેવો કોઈ પ્રદાતા ડિફૉલ્ટ બદલે, યાદી ભૂતકાળનું વર્ણન કરવા લાગે છે.

તેનાથી પણ ખરાબ, એક પોર્ટનું સફળ બ્લોકિંગ આખી સમસ્યા હલ થઈ ગઈ હોવાના પુરાવા તરીકે વંચાઈ શકે છે, જે પછી એ નિયંત્રણોને મોડા કરે છે જે મહત્વના હતા.

પ્રોટોકોલ નંબર અને પોર્ટ જુદા નામસ્થાન છે

GRE ને IP પ્રોટોકોલ નંબર 47 આપવામાં આવ્યો છે. તે TCP પોર્ટ 47 નથી અને UDP પોર્ટ 47 નથી, અને પોર્ટ માટે લખાયેલ ફિલ્ટર તેને સ્પર્શતું નથી. ESP અને AH એ જ ગુણધર્મ સાથે પ્રોટોકોલ નંબર 50 અને 51 પર છે. એન્કેપ્સ્યુલેટેડ ટ્રાફિક મંજૂર કનેક્શનની અંદર પણ છુપાઈ શકે છે, તેથી કોઈ શ્રેણી કે સહી મદદ કરી શકે છે, પણ એકલી ક્યારેય હેતુ પ્રમાણિત કરતી નથી. વિશ્વાસ અને આવરણ ચોક્કસ ઉત્પાદન અને પ્રકાશનના છે, સંકલ્પનાના નહીં.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

પ્રથમ આદેશ દર્શાવે છે કે તમે ખરેખર શું લખ્યું; બીજો સ્ટેક જે પ્રોટોકોલ કોષ્ટક જાણે છે તે દર્શાવે છે; ત્રીજો દર્શાવે છે કે આ ક્ષણે કેટલા સત્રો વેબ પોર્ટ વાપરે છે. એમાંથી કોઈ કહેતું નથી કે તે સત્રો શેના માટે છે. TLS અવરોધ એ અલગ નિર્ણય છે જેની વિશ્વાસ, ગોપનીયતા અને ક્લાયન્ટ સુસંગતતાની પોતાની કિંમત છે. તે નામાંકિત ગંતવ્ય નકારવાની પૂર્વશરત નથી, અને ટનલ ઓળખવાની બાંયધરી પણ નથી.

ઉપકરણ પાસે જે સત્તા છે તેને નિયંત્રિત કરો

જે ઉપકરણ પોતાનું રૂટિંગ કોષ્ટક અને ફિલ્ટરિંગ બદલી શકે છે તેની પાસે એવી ક્ષમતાઓ છે જે સામાન્ય એપ પાસે નથી. પ્રવેશ અને રૂપરેખા વ્યવસ્થાપન જ તે ક્ષમતા દૂર કરે છે, અને ટનલ કયો પોર્ટ વાપરશે તેની પરવા વિના તે કામ કરે છે.

એનો અર્થ છે કે મંજૂર જોડાણોને બીજા ઉપકરણો વતી આગળ મોકલવાની અમર્યાદિત પરવાનગીને બદલે પોતાની જાહેર કરેલી ભૂમિકા મળે છે, અને એનો અર્થ છે કે સ્થાપન અને નેટવર્ક વહીવટના અધિકારો નીતિનો ભાગ છે, પછીનો વિચાર નહીં.

બાકી રહેલા પ્રવાહોનું અવલોકન કરો. ઉપકરણની ઓળખ, આપેલી ભૂમિકા અને પ્રવાહની મેટાડેટા સહસંબંધિત કરો, અને વર્ગીકરણને મર્યાદાઓવાળા પુરાવા તરીકે ગણો, ચુકાદા તરીકે નહીં.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

લાંબા સમયનું એન્ક્રિપ્ટેડ સત્ર કે મોટી બાઇટ સંખ્યા દુરુપયોગનો પુરાવો નથી: બેકઅપ, સહાય સાધનો અને સાઇટ લિંક સરખા દેખાય છે. સંગ્રહને તપાસ સુધી મર્યાદિત રાખો અને જે મળે તેને તેની માલિકીની પ્રક્રિયા હેઠળ રાખો.

અપવાદોને સ્પષ્ટ કરો

દરેક વાતાવરણમાં એવા ગંતવ્યો હોય છે જે અપડેટ, પ્રમાણીકરણ અને પુનઃપ્રાપ્તિ માટે પહોંચવા યોગ્ય રહેવા જોઈએ. તેમને હેતુ અને જવાબદાર વ્યક્તિ સાથે લખો, અને એક પછી એક વિક્ષેપમાં શોધવાને બદલે તેમની સમીક્ષા કરો.

જ્યારે વ્યવસાય ખરેખર વિશાળ બાહ્ય સેવાની મંજૂરી આપે છે, ત્યારે તે સેવા જે સત્તા આપે છે તેનું મૂલ્યાંકન કરો, એમ ધારવાને બદલે કે ગંતવ્યનું લેબલ દરેક ઉપયોગને સ્વીકાર્ય બનાવે છે.

સમીક્ષા વગરનો અપવાદ ટિકિટ નંબરવાળો છિદ્ર છે. નામ, કારણ અને સમીક્ષા તારીખવાળો અપવાદ એક નિર્ણય છે.

સૂત્ર નહીં, લેખિત યોજના સાથે સ્વીકારો

સ્વીકારની બે અડધી બાજુ છે: મંજૂર કામ હજી સફળ થાય છે, અને ચોક્કસ પ્રતિબંધિત કિસ્સાઓ અધિકૃત પરીક્ષણમાં નિષ્ફળ જાય છે. બંનેને બદલાવ પહેલાં લખવા અને પછી પુનરાવર્તન કરવું જોઈએ.

તે સમીક્ષામાં એન્ડપોઇન્ટ અને નીતિના ફેરફારો સામેલ કરો, કારણ કે લેપટોપ પર ઉમેરાયેલો રૂટ ધાર પર સંપૂર્ણ કામ કરતું ફિલ્ટર રદ કરી શકે છે.

પરિણામ એ માલિકીની નિકાસ સીમા છે જેની સાથે બાકી જોખમની જાણીતી યાદી હોય. એવો દાવો કે થોડા બંધ પોર્ટે અનધિકૃત VPN ઉપયોગ અટકાવ્યો, તે આ નથી.