VPN एग्ज़िट को ब्लॉक करना एक पता ब्लॉक करता है, व्यक्ति नहीं

कोई एक VPN प्रदाता का एग्ज़िट पता अस्वीकृति सूची में जोड़ता है, और दुरुपयोग एक दिन के लिए रुक जाता है। फिर जो ग्राहक संयोगवश वही प्रदाता इस्तेमाल करता है वह टिकट खोलता है, और नियम किसी के बताए से अधिक व्यापक निकलता है। ब्लॉक हमेशा पते का फैसला था; समस्या यह है कि इसे पहचान का फैसला बताकर बेचा गया। अगला नियम लिखने से पहले दोनों को अलग करें।

जो नियम आप लागू कर सकते हैं वह स्रोत पते के बारे में है

फ़ायरवॉल नियम पैकेट के एक फ़ील्ड से मेल खाता है, और जिस फ़ील्ड से आप मेल करा रहे हैं वह स्रोत पता है। वह नियम उस पते से आने वाले ट्रैफ़िक को भरोसेमंद ढंग से अस्वीकार कर सकता है, जो वास्तविक और उपयोगी प्रभाव है। वह आपको नहीं बता सकता कि पैकेट किसने भेजा, कौन सा खाता इस्तेमाल हुआ या क्या यह वही व्यक्ति है जिसने कल की समस्या पैदा की। नियम लिखना आसान है; यह क्या सिद्ध करता है यह बताना वह जगह है जहाँ टीमें गलती करती हैं।

अगर लक्ष्य किसी विशेष व्यवहार को रोकना है, तो पते का नियम एक भोंडा साधन है जो संयोगवश उपलब्ध है। अगर लक्ष्य उपयोगकर्ता की पहचान करना है, तो पता गलत सबूत है और एप्लिकेशन का प्रमाणीकरण सही सबूत है। नियम उत्पादन में जाने से पहले तय करें कि आपका लक्ष्य कौन सा है।

रजिस्ट्रेशन खोज वास्तव में आपको क्या बताती है

रजिस्ट्री खोज किसी नेटवर्क के लिए आवंटन और पंजीकृत संपर्क लौटाती है। यह हर पते पर चल रही सेवाओं की सूची नहीं देती, और यह नहीं बताती कि किस किरायेदार ने अनुरोध भेजा। छोटा पंजीकृत ब्लॉक भी अलग-अलग ग्राहकों के असंबंधित कार्यभार रख सकता है।

dig +short exit.example.net
whois 203.0.113.0 | head -40

एग्ज़िट होस्टनाम हल करने पर आपको उस क्षण लौटाए गए पते मिलते हैं, जो एक स्नैपशॉट है, सूची नहीं। एक उत्तर को पूरे होस्टिंग प्रीफ़िक्स तक बढ़ाना अलग फैसला है जिसका प्रभाव दायरा व्यापक है, उसी सबूत का अधिक पूर्ण संस्करण नहीं। अगर आप अनुरक्षित वर्गीकरण फ़ीड इस्तेमाल करते हैं, तो उसका लेबल दोनों दिशाओं में ज्ञात त्रुटियों वाला अनुमान है। यह प्रमाणीकरण नहीं है, और यह लोगों की सूची नहीं है।

रुकें अगर प्रस्तावित नियम केवल एक खोज से न्यायसंगत है। स्नैपशॉट दायरे का फैसला नहीं है।

साझा एग्ज़िट और साथ की क्षति

साझा एग्ज़िट बहुत से उपयोगकर्ता ले जाता है, और साझा पता स्थान का अर्थ है कि एक सार्वजनिक पता ग्राहकों के पूरे समूह का प्रतिनिधित्व कर सकता है। इसे ब्लॉक करने से वे सभी प्रभावित होते हैं, उन सहित जिनका दुरुपयोग से कोई संबंध नहीं है। आसपास के प्रीफ़िक्स तक बढ़ाने से वह प्रभाव कई गुना होता है और किसी असंबंधित सेवा के फँसने की संभावना बढ़ती है। साथ की क्षति बाद में दर्ज करने वाला गौण प्रभाव नहीं है; यह नियम की परिभाषा का हिस्सा है।

पैकेट सबूत की अपनी सीमाएँ हैं। अलग SYN में स्रोत पता जाली हो सकता है, इसलिए पैकेट यह स्थापित नहीं करता कि किसने कुछ शुरू किया। आधा-खुला कनेक्शन दिखाता है कि हैंडशेक शुरू हुआ, यह नहीं कि सामने वाला पक्ष परावर्तन हमले का दोषी है। पूरा हुआ कनेक्शन एप्लिकेशन लॉग से कुछ अलग कहता है, और प्रमाणित सत्र ऐसे खाते का नाम लेता है जो दोनों में से कोई नहीं लेता।

नीति जितना अनुमति दे उतना संकीर्ण दायरा चुनें, और लिखें कि गलती से कौन फँस सकता है।

दर्ज करने योग्य सबूत, और उपयोगकर्ताओं के लिए वापसी का रास्ता

हर पता नियम के साथ वह अवलोकन होना चाहिए जिसने उसे न्यायसंगत बनाया, तारीख, दायरा और समीक्षा बिंदु। वही रिकॉर्ड अगले व्यक्ति को नियम क्यों मौजूद है यह अनुमान लगाने के बजाय उसे छोटा करने देता है। इसके बिना, अस्थायी ब्लॉक स्थायी ढाँचा बन जाता है।

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

ब्लॉक तैनात करने से पहले तय करें कि वैध उपयोगकर्ता पहुँच कैसे वापस पाएगा, क्योंकि सहायता कतार वसूली योजना नहीं है। अपील का रास्ता, प्रलेखित अपवाद या अलग पहुँच विधि काम करते हैं; लोगों से उनका VPN इस्तेमाल करना बंद करने को कहना काम नहीं करता। नेटवर्क नियम को व्यवहार के अनुरूप नियंत्रणों के साथ जोड़ें: दर सीमाएँ, अधिक कड़े खाता अनुमतियाँ या सेवा के भीतर ही प्रवर्तन। VPN एग्ज़िट ब्लॉक खुद को उपयोगकर्ता निर्देशिका बताए बिना अवांछित ट्रैफ़िक घटा सकता है।

जिस लक्षण पर नज़र रखनी है वह नियम जो करता है और लोग जो मानते हैं कि वह करता है, के बीच का अंतर है। ब्लॉक पते को अस्वीकार करता है। खाता उपयोगकर्ता की पहचान करता है। टिकट में इन वाक्यों को अलग रखें, अगला नियम बचाव करने में आसान होगा।