חסימת יציאת VPN חוסמת כתובת, לא אדם

מישהו מוסיף את כתובת היציאה של ספק VPN לרשימת חסימה, וההתעללות נפסקת ליום אחד. אחר כך לקוח שמשתמש במקרה באותו ספק פותח פנייה, ומתברר שהכלל רחב מכפי שתיאר מישהו. החסימה תמיד הייתה החלטה על כתובת; הבעיה היא שהיא נמכרה כהחלטה על זהות. הפרידו בין השניים לפני שתכתבו את הכלל הבא.

הכלל שאפשר לאכוף נוגע לכתובת מקור

כלל חומת אש מתאים לשדה בחבילה, והשדה שאתם מתאימים לו הוא כתובת המקור. הכלל הזה יכול לסרב באופן מהימן לתעבורה מאותה כתובת, וזו השפעה אמיתית ושימושית. הוא לא יכול לומר לכם מי שלח את החבילה, באיזה חשבון השתמשו או אם זה אותו אדם שגרם לבעיה של אתמול. לכתוב את הכלל זה קל; לתאר מה הוא מוכיח זה המקום שבו צוותים טועים.

אם המטרה היא לעצור התנהגות מסוימת, כלל כתובת הוא כלי קהה שבמקרה זמין. אם המטרה היא לזהות משתמש, הכתובת היא הראיה הלא נכונה והאימות של היישום הוא הראיה הנכונה. החליטו מה המטרה שלכם לפני שהכלל נכנס לייצור.

מה באמת אומרת שאילתת רישום

שאילתת רישום מחזירה את ההקצאה ואת אנשי הקשר הרשומים עבור רשת. היא לא מפרטת את השירותים שרצים בכל כתובת, והיא לא אומרת איזה דייר שלח בקשה. אפילו בלוק רשום קטן יכול להכיל עומסי עבודה לא קשורים של לקוחות שונים.

dig +short exit.example.net
whois 203.0.113.0 | head -40

פתרון שם מארח של יציאה נותן לכם את הכתובות שהוחזרו באותו רגע, כלומר תמונת מצב ולא מלאי. הרחבה של תשובה אחת לכל קידומת האחסון היא החלטה נפרדת עם רדיוס השפעה רחב יותר, לא גרסה מלאה יותר של אותה ראיה. אם אתם משתמשים בהזנת סיווג מתוחזקת, התווית שלה היא ניחוש עם שגיאות ידועות בשני הכיוונים. זה לא אימות, וזה לא רשימה של אנשים.

עצרו אם הכלל המוצע מוצדק רק על ידי שאילתה. תמונת מצב אינה החלטת היקף.

יציאות משותפות ונזק לוואי

יציאה משותפת נושאת משתמשים רבים, ומרחב כתובות משותף פירושו שכתובת ציבורית אחת יכולה לייצג קבוצה שלמה של מנויים. חסימתה פוגעת בכולם, כולל אלה שאין להם שום קשר להתעללות. הרחבה לקידומת שמסביב מכפילה את ההשפעה ומגדילה את הסיכוי ששירות לא קשור ייתפס. הנזק לוואי אינו תופעת לוואי שתרשמו אחר כך; הוא חלק מהגדרת הכלל.

לראיות מחבילות יש גבולות משלהן. כתובת מקור ב-SYN בודד יכולה להיות מזויפת, ולכן החבילה לא קובעת מי יזם משהו. מצב חיבור חצי-פתוח מראה שמשא ומתן התחיל, לא שהצד השני אשם בהתקפת החזרה. חיבור שהסתיים אומר משהו שונה מיומן יישום, וסשן מאומת נוקב בשם חשבון שאף אחד מהשניים לא נוקב בו.

בחרו בהיקף הצר ביותר שהמדיניות מתירה, ורשמו את מי שצפוי להיתפס בטעות.

ראיות לתעד, ודרך חזרה למשתמשים

כל כלל כתובת צריך לשאת את התצפית שהצדיקה אותו, את התאריך, את ההיקף ואת נקודת הביקורת. הרשומה הזו היא מה שמאפשר לאדם הבא לצמצם את הכלל במקום לנחש למה הוא קיים. בלעדיה, חסימה זמנית הופכת לתשתית קבועה.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

החליטו איך משתמש לגיטימי משחזר גישה לפני שאתם פורסים את החסימה, כי תור תמיכה אינו תוכנית התאוששות. מסלול ערעור, חריגה מתועדת או שיטת גישה אחרת עובדים; לומר לאנשים להפסיק להשתמש ב-VPN שלהם לא עובד. חברו את כלל הרשת לבקרות שמתאימות להתנהגות: מגבלות קצב, הרשאות חשבון הדוקות יותר או אכיפה בתוך השירות עצמו. חסימת יציאת VPN יכולה לצמצם תעבורה לא רצויה בלי להעמיד פנים שהיא מדריך משתמשים.

התסמין שכדאי לשמור לנגד עיניכם הוא הפער בין מה שהכלל עושה לבין מה שאנשים מאמינים שהוא עושה. חסימה מסרבת לכתובת. חשבון מזהה משתמש. שמרו על המשפטים האלה בנפרד בפנייה, והכלל הבא יהיה קל יותר להגנה.