VPN ելքի արգելափակումը արգելափակում է հասցե, ոչ թե մարդ

Ինչ-որ մեկը VPN մատակարարի ելքի հասցեն ավելացնում է արգելված ցանկում, և չարաշահումը դադարում է մեկ օրով։ Հետո հաճախորդը, ով պատահաբար օգտագործում է նույն մատակարարին, բացում է տոմս, և պարզվում է, որ կանոնն ավելի լայն է, քան որևէ մեկը նկարագրել էր։ Արգելափակումը միշտ հասցեի մասին որոշում էր. խնդիրն այն է, որ այն վաճառվել է որպես ինքնության մասին որոշում։ Առանձնացրեք երկուսը նախքան հաջորդ կանոնը գրելը։

Կանոնը, որը կարող եք կիրառել, վերաբերում է աղբյուրի հասցեին

Հրդեհային պատի կանոնը համապատասխանում է փաթեթի դաշտին, և դաշտը, որին համապատասխանում եք, աղբյուրի հասցեն է։ Այդ կանոնը կարող է վստահելիորեն մերժել այդ հասցեից եկող երթևեկությունը, ինչը իրական և օգտակար ազդեցություն է։ Այն չի կարող ասել, թե ով է ուղարկել փաթեթը, որ հաշիվն է օգտագործվել կամ արդյոք նույն մարդն է, ով առաջացրել է երեկվա խնդիրը։ Կանոնը գրելը հեշտ է. նկարագրելը, թե ինչ է այն ապացուցում, այն տեղն է, որտեղ թիմերը սխալվում են։

Եթե նպատակը որոշակի վարքագիծ կանգնեցնելն է, հասցեի կանոնը բութ գործիք է, որը պատահաբար առկա է։ Եթե նպատակը օգտվողին նույնականացնելն է, հասցեն սխալ ապացույց է, իսկ հավելվածի նույնականացումը՝ ճիշտը։ Որոշեք, թե որ նպատակն ունեք, նախքան կանոնը արտադրություն կմտնի։

Ինչ է իրականում ասում գրանցամատյանի հարցումը

Գրանցամատյանի հարցումը վերադարձնում է ցանցին հատկացված բլոկը և գրանցված կոնտակտները։ Այն չի թվարկում յուրաքանչյուր հասցեում աշխատող ծառայությունները և չի ասում, թե որ վարձակալն է ուղարկել հարցումը։ Նույնիսկ փոքր գրանցված բլոկը կարող է պարունակել տարբեր հաճախորդների անկապ աշխատանքային բեռներ։

dig +short exit.example.net
whois 203.0.113.0 | head -40

Ելքի հոսթի անվան լուծումը տալիս է այն հասցեները, որոնք վերադարձվել են այդ պահին, այսինքն՝ պատկեր, ոչ թե գույքացուցակ։ Մեկ պատասխանը ամբողջ հոսթինգի նախածանցի վրա տարածելը առանձին որոշում է՝ ավելի լայն ազդեցությամբ, ոչ թե նույն ապացույցի ավելի ամբողջական տարբերակ։ Եթե օգտագործում եք պահպանվող դասակարգման հոսք, դրա պիտակը գուշակություն է՝ երկու ուղղությամբ էլ հայտնի սխալներով։ Դա նույնականացում չէ և մարդկանց ցանկ չէ։

Կանգ առեք, եթե առաջարկվող կանոնը հիմնավորվում է միայն հարցումով։ Պատկերը շրջանակի որոշում չէ։

Համատեղ ելքեր և կողմնակի վնաս

Համատեղ ելքը կրում է շատ օգտվողների, և համատեղ հասցեային տարածք նշանակում է, որ մեկ հանրային հասցեն կարող է ներկայացնել բաժանորդների ամբողջ խումբ։ Այն արգելափակելը ազդում է բոլորի վրա, ներառյալ նրանց, ովքեր որևէ կապ չունեն չարաշահման հետ։ Շրջակա նախածանցի վրա տարածելը բազմապատկում է այդ ազդեցությունը և մեծացնում անկապ ծառայության ընկնելու հավանականությունը։ Կողմնակի վնասը ավելի ուշ նշելու կողմնակի ազդեցություն չէ. այն կանոնի սահմանման մասն է։

Փաթեթային ապացույցներն ունեն իրենց սահմանները։ Մեկուսացված SYN-ում աղբյուրի հասցեն կարող է կեղծվել, ուստի փաթեթը չի հաստատում, թե ով ինչ է սկսել։ Կիսաբաց կապի վիճակը ցույց է տալիս, որ ձեռքսեղմումը սկսվել է, ոչ թե որ հակառակորդը մեղավոր է արտացոլման հարձակման մեջ։ Ավարտված կապը այլ բան է ասում, քան հավելվածի մատյանը, իսկ նույնականացված սեսիան անվանում է հաշիվ, որը նրանցից ոչ մեկը չի անվանում։

Ընտրեք ամենանեղ շրջանակը, որը թույլ է տալիս քաղաքականությունը, և գրեք, թե ում է սպասվում սխալմամբ ընկնել։

Գրանցման ենթակա ապացույցներ և վերադարձի ուղի օգտվողների համար

Յուրաքանչյուր հասցեի կանոն պետք է կրի այն դիտարկումը, որն արդարացրել է այն, ամսաթիվը, շրջանակը և վերանայման կետ։ Հենց այդ գրառումն է հնարավորություն տալիս հաջորդ մարդուն նեղացնել կանոնը՝ փոխարենը գուշակելու, թե ինչու է այն գոյություն ունի։ Առանց դրա ժամանակավոր արգելափակումը դառնում է մշտական ենթակառուցվածք։

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Որոշեք, թե ինչպես օրինական օգտվողը կվերականգնի հասանելիությունը, նախքան արգելափակումը տեղակայելը, քանի որ աջակցության հերթը վերականգնման ծրագիր չէ։ Բողոքարկման ուղին, փաստաթղթավորված բացառությունը կամ հասանելիության այլ մեթոդը աշխատում են. մարդկանց ասելը, որ դադարեն օգտագործել իրենց VPN-ը, չի աշխատում։ Զուգակցեք ցանցային կանոնը վարքագծին համապատասխան վերահսկիչների հետ՝ արագության սահմանափակումներ, ավելի խիստ հաշվի թույլտվություններ կամ կիրառում ծառայության ներսում։ VPN ելքի արգելափակումը կարող է նվազեցնել անցանկալի երթևեկությունը՝ չձևացնելով, թե օգտվողների ուղեցույց է։

Աչքի առաջ պահեք այն ախտանիշը՝ կանոնի անելիքի և մարդկանց համոզմունքի միջև եղած բացը։ Արգելափակումը մերժում է հասցե։ Հաշիվը նույնականացնում է օգտվող։ Տոմսում այդ նախադասությունները առանձին պահեք, և հաջորդ կանոնը ավելի հեշտ կլինի պաշտպանել։