למה חסימת פורטים של VPN לא עוצרת מנהרות לא מורשות

כלל חומת אש דוחה את התעבורה שהוא מתאים לה. הוא אינו דוחה כל שימוש בחיבור שהוא מתיר, ובפער הזה נכשלות רוב המדיניות נגד מנהרות לא מורשות. חסימת הפורטים של הלקוח שהיה פופולרי לפני חמש שנים משאירה בלי פגע כל מה שעובר דרך 443, ואינה אומרת דבר על מכשיר שיכול לכתוב מחדש את המסלולים של עצמו. בנו את הבקרה סביב הרשאה ויעדים, ואז קראו את הזרימות שאתם באמת מתירים.

למה רשימת פורטים אינה מדיניות

פורטים הם מושג של שכבת התעבורה, וכמה טכנולוגיות מנהרה כלל אינן משתמשות בפורט. אחרות חולקות במכוון פורט עם תעבורת אינטרנט רגילה, מפני שזה הפורט שמובטח שיעבור. לכן כלל שמבוסס על פורט היסטורי מונה קומץ מימושים ולא את מחלקת ההתנהגות. הוא גם מתיישן רע: ברגע שספק משנה ברירות מחדל, הרשימה מתארת את העבר.

גרוע מכך, חסימה מוצלחת של פורט אחד עלולה להיקרא כהוכחה שהבעיה כולה נפתרה, מה שמעכב את הבקרות שהיו חשובות.

מספרי פרוטוקול ופורטים הם מרחבי שמות שונים

ל-GRE מוקצה מספר פרוטוקול IP 47. זה אינו פורט TCP 47 ואינו פורט UDP 47, ומסנן שנכתב לפורט אינו נוגע בו. ESP ו-AH נמצאים במספרי הפרוטוקול 50 ו-51 עם אותה תכונה. תעבורה עטופה יכולה גם להסתתר בתוך חיבור מותר, ולכן קטגוריה או חתימה יכולה לעזור אך לעולם אינה מאשרת את המטרה לבדה. אמון וכיסוי שייכים למוצר ולמהדורה מסוימים, לא למושג.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

הפקודה הראשונה מראה מה באמת כתבתם; השנייה מציגה את טבלת הפרוטוקולים שהמחסנית מכירה; השלישית מראה כמה הפעלות משתמשות בפורט האינטרנט כרגע. אף אחת מהן אינה אומרת למה מיועדות ההפעלות האלה. יירוט TLS הוא החלטה נפרדת עם עלויות אמון, פרטיות ותאימות לקוח משל עצמה. הוא אינו תנאי מוקדם לסירוב יעד בעל שם, והוא גם אינו הבטחה לזיהוי מנהרות.

שלטו בהרשאה שיש למכשיר

מכשיר שיכול לשנות את טבלת הניתוב והסינון של עצמו מחזיק ביכולות שאין ליישום רגיל. ניהול הקבלה והתצורה הוא מה שמסיר את היכולת הזאת, והוא פועל ללא תלות בפורט שהמנהרה הייתה משתמשת בו.

כלומר, חיבורים מאושרים מקבלים את התפקיד המוצהר שלהם במקום הרשאה בלתי מוגבלת להעביר עבור מכשירים אחרים, וכלומר הרשאות התקנה וניהול רשת הן חלק מהמדיניות ולא מחשבה מאוחרת.

צפו בזרימות שנשארות. קשרו בין זהות המכשיר, התפקיד שהוקצה ומטא-נתוני הזרימה, והתייחסו לסיווג כראיה עם גבולות ולא כפסק דין.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

הפעלה מוצפנת ארוכה או מספר בתים גדול אינם הוכחה לשימוש לרעה: גיבויים, כלי תמיכה וקישורים בין אתרים נראים אותו דבר. הגבילו את האיסוף לחקירה ושמרו את מה שמצאתם תחת התהליך שבבעלותו.

הפכו את החריגים למפורשים

לכל סביבה יש יעדים שחייבים להישאר נגישים לעדכונים, לאימות ולשחזור. רשמו אותם עם מטרה ואחראי, וסקרו אותם במקום לגלות אותם תקלה אחר תקלה.

כשהעסק באמת מתיר שירות חיצוני רחב, העריכו את ההרשאה שהשירות מספק במקום להניח שהתווית של היעד הופכת כל שימוש למקובל.

חריג שלא נסקר הוא חור עם מספר קריאה. חריג עם שם, סיבה ותאריך סקירה הוא החלטה.

קבלו בתוכנית כתובה, לא בסיסמה

לקבלה שני חצאים: העבודה המאושרת עדיין מצליחה, והמקרים האסורים המסוימים נכשלים בבדיקה מורשית. שניהם חייבים להיכתב לפני השינוי ולחזור על עצמם אחריו.

כללו בסקירה הזאת שינויים בנקודות קצה ובמדיניות, מפני שמסלול שנוסף במחשב נייד יכול לבטל מסנן שעבד באופן מושלם בקצה.

התוצר הוא גבול יציאה בבעלות עם רשימה ידועה של סיכון שנותר. הטענה שכמה פורטים סגורים סיימו שימוש לא מורשה ב-VPN אינה זה.