Blokiranje VPN izlaza blokira adresu, a ne osobu

Netko doda izlaznu adresu VPN pružatelja na popis zabrana i zloupotreba prestane na dan. Zatim korisnik koji slučajno koristi istog pružatelja otvori tiket, i pokaže se da je pravilo šire nego što je itko opisao. Blokada je oduvijek bila odluka o adresi; problem je što je prodana kao odluka o identitetu. Razdvojite to dvoje prije nego napišete sljedeće pravilo.

Pravilo koje možete provesti tiče se izvorne adrese

Pravilo vatrozida podudara polje u paketu, a polje koje podudarate je izvorna adresa. To pravilo može pouzdano odbiti promet s te adrese, što je stvaran i koristan učinak. Ne može vam reći tko je poslao paket, koji je račun korišten ili je li to ista osoba koja je izazvala jučerašnji problem. Napisati pravilo je lako; opisati što ono dokazuje mjesto je gdje timovi griješe.

Ako je cilj zaustaviti određeno ponašanje, pravilo o adresi je tupo oruđe koje se jednostavno našlo pri ruci. Ako je cilj identificirati korisnika, adresa je pogrešan dokaz, a autentifikacija u aplikaciji pravi. Odlučite koji cilj imate prije nego pravilo ode u produkciju.

Što vam upit u registar zapravo govori

Upit u registar vraća dodijeljeni blok i kontakte registrirane za mrežu. Ne navodi usluge koje rade na svakoj adresi i ne govori vam koji je zakupac poslao zahtjev. Čak i mali registrirani blok može sadržavati nepovezane radne skupove različitih klijenata.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Razrješavanje imena izlaznog hosta daje adrese vraćene u tom trenutku, što je snimka, a ne popis. Proširivanje jednog odgovora na cijeli prefiks hostanja zasebna je odluka sa širim dometom, a ne potpunija verzija istih dokaza. Ako koristite održavani tok klasifikacije, njegova oznaka je nagađanje s poznatim greškama u oba smjera. To nije autentifikacija i nije popis ljudi.

Zaustavite se ako se predloženo pravilo opravdava samo upitom. Snimka nije odluka o opsegu.

Dijeljeni izlazi i kolateralna šteta

Dijeljeni izlaz nosi mnogo korisnika, a zajednički adresni prostor znači da jedna javna adresa može predstavljati cijelu skupinu pretplatnika. Blokiranje pogađa sve njih, uključujući one bez ikakve veze sa zloupotrebom. Proširivanje na okolni prefiks umnožava taj učinak i povećava šansu da bude zahvaćena nepovezana usluga. Kolateralna šteta nije sporedni učinak koji se kasnije bilježi; ona je dio definicije pravila.

Dokazi iz paketa imaju vlastite granice. Izvorna adresa u izoliranom SYN-u može biti krivotvorena, pa paket ne utvrđuje tko je što započeo. Stanje poluotvorene veze pokazuje da je rukovanje počelo, a ne da je druga strana kriva za refleksijski napad. Završena veza govori nešto drugačije od aplikacijskog zapisa, a autentificirana sesija imenuje račun koji nijedno od njih ne imenuje.

Odaberite najuži opseg koji politika dopušta i zapišite koga se očekuje da će biti pogođen greškom.

Dokazi koje treba zabilježiti i put natrag za korisnike

Svako pravilo o adresi treba nositi zapažanje koje ga je opravdalo, datum, opseg i točku pregleda. Taj zapis omogućuje sljedećoj osobi da smanji pravilo umjesto da nagađa zašto postoji. Bez njega privremena blokada postaje trajna infrastruktura.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Odlučite kako legitimni korisnik vraća pristup prije nego primijenite blokadu, jer red za podršku nije plan oporavka. Put za žalbu, dokumentirana iznimka ili drugačiji način pristupa djeluju; savjet da ljudi prestanu koristiti VPN ne djeluje. Uparite mrežno pravilo s kontrolama koje odgovaraju ponašanju: ograničenja brzine, strože dozvole računa ili provođenje unutar same usluge. Blokada VPN izlaza može smanjiti neželjeni promet bez pretvaranja da je imenik korisnika.

Simptom koji treba držati na oku je razlika između onoga što pravilo radi i onoga što ljudi vjeruju da radi. Blokada odbija adresu. Račun identificira korisnika. Držite te rečenice odvojeno u tiketu i sljedeće pravilo bit će lakše braniti.