A VPN-kijárat blokkolása egy címet blokkol, nem egy személyt

Valaki felveszi egy VPN-szolgáltató kimeneti címét egy tiltólistára, és a visszaélés egy napra megszűnik. Aztán egy ügyfél, aki véletlenül ugyanazt a szolgáltatót használja, jegyet nyit, és a szabály szélesebbnek bizonyul, mint ahogy bárki leírta. A blokk mindig is címre vonatkozó döntés volt; a probléma az, hogy identitásra vonatkozó döntésként adták el. Válassza szét a kettőt, mielőtt megírja a következő szabályt.

Az érvényesíthető szabály forrás-címről szól

A tűzfalszabály egy mezőre illeszkedik a csomagban, és az a mező, amelyre illeszkedik, a forráscím. Ez a szabály megbízhatóan elutasíthatja az adott címről érkező forgalmat, ami valós és hasznos hatás. Nem tudja megmondani, ki küldte a csomagot, milyen fiókot használtak, vagy hogy ugyanaz a személy-e, aki a tegnapi problémát okozta. A szabály megírása könnyű; leírni, mit bizonyít, ott hibáznak a csapatok.

Ha a cél egy adott viselkedés megállítása, a cím-szabály tompa eszköz, amely épp elérhető. Ha a cél egy felhasználó azonosítása, a cím a rossz bizonyíték, és az alkalmazás hitelesítése a helyes. Döntse el, melyik célja van, mielőtt a szabály élesbe kerül.

Mit mond el valójában egy regisztrációs lekérdezés

A regisztrációs lekérdezés visszaadja a kiosztást és a hálózathoz regisztrált kapcsolattartókat. Nem sorolja fel az egyes címeken futó szolgáltatásokat, és nem mondja meg, melyik bérlő küldte a kérést. Még egy kis regisztrált blokk is tartalmazhat különböző ügyfelek egymástól független munkaterheit.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Egy kimeneti hosztnév feloldása az adott pillanatban visszaadott címeket adja, ami pillanatkép, nem leltár. Egy válasz kiterjesztése a teljes hosting-előtagra külön döntés szélesebb hatókörrel, nem ugyanazon bizonyíték teljesebb változata. Ha karbantartott osztályozási hírcsatornát használ, annak címkéje találgatás, ismert hibákkal mindkét irányban. Ez nem hitelesítés, és nem személyek listája.

Álljon meg, ha a javasolt szabályt csak egy lekérdezés indokolja. A pillanatkép nem hatókör-döntés.

Megosztott kijáratok és járulékos kár

Egy megosztott kijárat sok felhasználót hordoz, és a megosztott címterület azt jelenti, hogy egy nyilvános cím egy egész előfizetői csoportot képviselhet. Ennek blokkolása mindegyiküket érinti, azokat is, akiknek semmi közük a visszaéléshez. A környező előtagra való kiterjesztés megsokszorozza ezt a hatást, és növeli annak esélyét, hogy egy független szolgáltatás is eltalál. A járulékos kár nem később feljegyzendő mellékhatás; a szabály definíciójának része.

A csomagbizonyítékoknak megvannak a maguk korlátai. Egy izolált SYN forráscíme hamisítható, így a csomag nem bizonyítja, ki kezdett bármit. A félig nyitott kapcsolat állapota azt mutatja, hogy kézfogás indult, nem azt, hogy a másik fél bűnös egy tükrözéses támadásban. Egy befejezett kapcsolat másról beszél, mint egy alkalmazásnapló, a hitelesített munkamenet pedig olyan fiókot nevez meg, amelyet egyik sem.

Válassza a legszűkebb hatókört, amelyet a szabályzat enged, és írja le, kit várhatóan tévedésből ér találat.

Rögzítendő bizonyítékok és visszaút a felhasználóknak

Minden cím-szabálynak hordoznia kell az őt indokló megfigyelést, a dátumot, a hatókört és egy felülvizsgálati pontot. Ez a feljegyzés teszi lehetővé a következő embernek, hogy szűkítse a szabályt ahelyett, hogy találgatná, miért létezik. Nélküle az ideiglenes blokk állandó infrastruktúrává válik.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Döntse el, hogyan kap vissza hozzáférést egy jogszerű felhasználó, mielőtt telepíti a blokkot, mert egy támogatási sor nem helyreállítási terv. A fellebbezési útvonal, a dokumentált kivétel vagy egy másik hozzáférési mód működik; az nem működik, ha azt mondjuk az embereknek, hogy hagyják abba a VPN használatát. Párosítsa a hálózati szabályt a viselkedéshez illő kontrollokkal: sebességkorlátok, szigorúbb fiókengedélyek vagy a szolgáltatáson belüli érvényesítés. Egy VPN-kijárat blokkolása csökkentheti a nem kívánt forgalmat anélkül, hogy felhasználói névtárnak adná ki magát.

A szem előtt tartandó tünet a szabály tényleges működése és az emberek hite közötti szakadék. A blokk elutasít egy címet. A fiók azonosít egy felhasználót. Tartsa ezeket a mondatokat külön a jegyben, és a következő szabályt könnyebb lesz megvédeni.