VPN पोर्ट ब्लॉक करने से अनधिकृत टनल क्यों नहीं रुकते

फ़ायरवॉल नियम उस ट्रैफ़िक को अस्वीकार करता है जिससे वह मेल खाता है। यह उस कनेक्शन के हर उपयोग को अस्वीकार नहीं करता जिसे वह अनुमति देता है, और अनधिकृत टनल के विरुद्ध अधिकांश नीतियाँ इसी खाई में विफल होती हैं। पाँच साल पहले लोकप्रिय रहे क्लाइंट के पोर्ट ब्लॉक करना 443 से गुज़रने वाली हर चीज़ को अछूता छोड़ देता है, और ऐसे डिवाइस के बारे में कुछ नहीं कहता जो अपने रास्ते फिर से लिख सकता है। नियंत्रण को अधिकार और गंतव्यों के इर्द-गिर्द बनाएँ, फिर वे फ़्लो पढ़ें जिनकी आप वास्तव में अनुमति देते हैं।

पोर्ट सूची नीति क्यों नहीं है

पोर्ट ट्रांसपोर्ट परत की अवधारणा हैं, और कई टनल तकनीकें इनका बिल्कुल उपयोग नहीं करतीं। अन्य जानबूझकर एक पोर्ट सामान्य वेब ट्रैफ़िक के साथ साझा करती हैं, क्योंकि वही पोर्ट है जिसका गुज़रना गारंटीकृत है। इसलिए ऐतिहासिक पोर्ट पर टिका नियम मुट्ठी भर कार्यान्वयन गिनाता है, व्यवहार की श्रेणी नहीं। यह जल्दी पुराना भी होता है: जैसे ही कोई प्रदाता डिफ़ॉल्ट बदलता है, सूची अतीत का वर्णन करने लगती है।

इससे भी बुरा, एक पोर्ट की सफल ब्लॉकिंग को इस बात का सबूत पढ़ा जा सकता है कि पूरी समस्या हल हो गई, जिससे वे नियंत्रण देर से आते हैं जो मायने रखते।

प्रोटोकॉल नंबर और पोर्ट अलग नाम-स्थान हैं

GRE को IP प्रोटोकॉल नंबर 47 दिया गया है। यह TCP पोर्ट 47 नहीं है और UDP पोर्ट 47 नहीं है, और पोर्ट के लिए लिखा गया फ़िल्टर उसे नहीं छूता। ESP और AH उसी गुण के साथ प्रोटोकॉल नंबर 50 और 51 पर हैं। एनकैप्सुलेटेड ट्रैफ़िक किसी अनुमत कनेक्शन के भीतर भी छिप सकता है, इसलिए कोई श्रेणी या हस्ताक्षर मदद कर सकता है, पर अकेले कभी उद्देश्य प्रमाणित नहीं करता। विश्वास और कवरेज किसी विशिष्ट उत्पाद और रिलीज़ के होते हैं, अवधारणा के नहीं।

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

पहला कमांड दिखाता है कि आपने वास्तव में क्या लिखा; दूसरा वह प्रोटोकॉल तालिका दिखाता है जिसे स्टैक जानता है; तीसरा दिखाता है कि इस समय कितने सत्र वेब पोर्ट का उपयोग कर रहे हैं। इनमें से कोई नहीं बताता कि वे सत्र किस लिए हैं। TLS अवरोधन एक अलग निर्णय है जिसकी विश्वास, गोपनीयता और क्लाइंट संगति की अपनी लागत है। यह किसी नामित गंतव्य को अस्वीकार करने की पूर्व शर्त नहीं है, और टनल पहचानने की गारंटी भी नहीं।

डिवाइस के पास जो अधिकार है उसे नियंत्रित करें

जो डिवाइस अपनी रूटिंग तालिका और फ़िल्टरिंग बदल सकता है, उसके पास ऐसी क्षमताएँ हैं जो सामान्य ऐप के पास नहीं। प्रवेश और कॉन्फ़िगरेशन प्रबंधन ही वह क्षमता हटाता है, और यह इस बात की परवाह किए बिना काम करता है कि टनल कौन-सा पोर्ट उपयोग करेगा।

इसका अर्थ है कि स्वीकृत अटैचमेंट को दूसरे डिवाइसों के लिए आगे भेजने की असीमित अनुमति के बजाय अपनी घोषित भूमिका मिलती है, और इसका अर्थ है कि इंस्टॉलेशन और नेटवर्क प्रशासन के अधिकार नीति का हिस्सा हैं, बाद का विचार नहीं।

बचे हुए फ़्लो देखें। डिवाइस की पहचान, दी गई भूमिका और फ़्लो मेटाडेटा को सहसंबंधित करें, और वर्गीकरण को सीमाओं वाला सबूत मानें, फ़ैसला नहीं।

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

लंबे समय तक चलने वाला एन्क्रिप्टेड सत्र या बड़ी बाइट संख्या दुरुपयोग का सबूत नहीं है: बैकअप, सहायता उपकरण और साइट लिंक एक जैसे दिखते हैं। संग्रह को जाँच तक सीमित रखें और जो मिले उसे उस प्रक्रिया के अधीन रखें जिसका वह स्वामित्व है।

अपवाद स्पष्ट करें

हर वातावरण में ऐसे गंतव्य होते हैं जो अपडेट, प्रमाणीकरण और रिकवरी के लिए पहुँच योग्य रहने चाहिए। उन्हें उद्देश्य और ज़िम्मेदार व्यक्ति के साथ लिखें, और एक-एक व्यवधान में खोजने के बजाय उनकी समीक्षा करें।

जब व्यवसाय वास्तव में किसी व्यापक बाहरी सेवा की अनुमति देता है, तो उस सेवा द्वारा दिए गए अधिकार का मूल्यांकन करें, यह मानने के बजाय कि गंतव्य का लेबल हर उपयोग को स्वीकार्य बना देता है।

बिना समीक्षा वाला अपवाद टिकट नंबर वाला छेद है। नाम, कारण और समीक्षा तिथि वाला अपवाद एक निर्णय है।

नारे के बजाय लिखित योजना के साथ स्वीकार करें

स्वीकृति के दो आधे हैं: स्वीकृत काम अब भी सफल होता है, और विशिष्ट निषिद्ध मामले अधिकृत परीक्षण में विफल होते हैं। दोनों को बदलाव से पहले लिखना और बाद में दोहराना चाहिए।

उस समीक्षा में एंडपॉइंट और नीति परिवर्तन शामिल करें, क्योंकि लैपटॉप पर जोड़ा गया रास्ता उस फ़िल्टर को रद्द कर सकता है जो किनारे पर पूरी तरह काम कर रहा था।

डिलीवरेबल एक स्वामित्व वाली निर्गम सीमा है जिसके साथ शेष जोखिम की ज्ञात सूची हो। यह दावा कि कुछ बंद पोर्ट ने अनधिकृत VPN उपयोग समाप्त कर दिया, वह यह नहीं है।