Ինչու VPN պորտերի արգելափակումը չի կանգնեցնում չարտոնված թունելները

Հրային պատի կանոնը մերժում է այն երթևեկությունը, որին համապատասխանում է։ Այն չի մերժում իր թույլատրած կապի յուրաքանչյուր օգտագործում, և հենց այս ճեղքում են ձախողվում չարտոնված թունելների դեմ քաղաքականությունների մեծ մասը։ Հինգ տարի առաջ հանրաճանաչ հաճախորդի պորտերի արգելափակումը թողնում է անձեռնմխելի այն ամենը, ինչ անցնում է 443-ով, և ոչինչ չի ասում սարքի մասին, որը կարող է վերագրել իր սեփական ուղիները։ Կառուցեք վերահսկողությունը լիազորության և նպատակակետերի շուրջ, ապա կարդացեք այն հոսքերը, որոնք իրականում թույլատրում եք։

Ինչու պորտերի ցանկը քաղաքականություն չէ

Պորտերը տրանսպորտային շերտի հասկացություն են, և մի քանի թունելային տեխնոլոգիաներ ընդհանրապես չեն օգտագործում դրանք։ Մյուսները դիտավորյալ կիսում են պորտը սովորական վեբ երթևեկության հետ, քանի որ այդ պորտն է երաշխավորված անցնողը։ Ուստի պատմական պորտի վրա հիմնված կանոնը թվարկում է մի բուռ իրականացումներ, այլ ոչ վարքագծի դասը։ Այն նաև վատ է ծերանում. հենց մատակարարը փոխում է լռելյայն արժեքները, ցանկը նկարագրում է անցյալը։

Ավելի վատ, մեկ պորտի հաջող արգելափակումը կարող է ընկալվել որպես ամբողջ խնդրի լուծման ապացույց, ինչը հետաձգում է այն վերահսկողությունները, որոնք նշանակություն կունենային։

Արձանագրության համարները և պորտերը տարբեր անվանատարածքներ են

GRE-ին վերապահված է IP արձանագրության 47 համարը։ Դա TCP 47 պորտ չէ և UDP 47 պորտ չէ, և պորտի համար գրված զտիչը չի դիպչում դրան։ ESP-ն և AH-ը գտնվում են 50 և 51 արձանագրության համարների վրա նույն հատկությամբ։ Փաթեթավորված երթևեկությունը կարող է նաև թաքնվել թույլատրված կապի ներսում, դրա համար կատեգորիան կամ ստորագրությունը կարող է օգնել, բայց երբեք ինքնուրույն չի հավաստում նպատակը։ Վստահությունն ու ծածկույթը պատկանում են կոնկրետ արտադրանքի և թողարկման, ոչ թե հասկացությանը։

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Առաջին հրամանը ցույց է տալիս, թե իրականում ինչ եք գրել. երկրորդը ցույց է տալիս արձանագրությունների աղյուսակը, որը ճանաչում է կույտը. երրորդը ցույց է տալիս, թե քանի սեսիա է հիմա օգտագործում վեբ պորտը։ Նրանցից ոչ մեկը չի ասում, թե ինչի համար են այդ սեսիաները։ TLS-ի գաղտնալսումը առանձին որոշում է՝ վստահության, գաղտնիության և հաճախորդի համատեղելիության իր իսկ ծախսերով։ Այն նախապայման չէ անվանված նպատակակետը մերժելու համար, և թունելների ճանաչման երաշխիք էլ չէ։

Կառավարեք սարքի լիազորությունը

Սարքը, որը կարող է փոխել իր երթուղային աղյուսակը և զտումը, ունի հնարավորություններ, որոնք սովորական հավելվածը չունի։ Ընդունելության և կազմաձևման կառավարումն է, որ հեռացնում է այդ հնարավորությունը, և այն գործում է անկախ այն պորտից, որը կօգտագործեր թունելը։

Դա նշանակում է, որ հաստատված միացումները ստանում են իրենց հայտարարված դերը՝ այլ սարքերի փոխարեն փոխանցելու անսահմանափակ թույլտվության փոխարեն, և նշանակում է, որ տեղադրման և ցանցային կառավարման իրավունքները քաղաքականության մաս են, այլ ոչ թե հետագա միտք։

Դիտարկեք մնացած հոսքերը։ Կապակցրեք սարքի ինքնությունը, նշանակված դերը և հոսքի մետատվյալները, և դասակարգումը դիտարկեք որպես սահմանափակումներով ապացույց, այլ ոչ թե դատավճիռ։

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Երկարաժամկետ գաղտնագրված սեսիան կամ մեծ բայթերի քանակը չեն ապացուցում չարաշահում. պահուստային պատճենները, աջակցող գործիքները և տեղամասերի միջև կապերը նույն տեսքն ունեն։ Սահմանափակեք հավաքը հետաքննությամբ և պահպանեք գտածը այն գործընթացի ներքո, որին այն պատկանում է։

Բացահայտեք բացառությունները

Յուրաքանչյուր միջավայր ունի նպատակակետեր, որոնք պետք է մնան հասանելի թարմացումների, նույնականացման և վերականգնման համար։ Գրեք դրանք նպատակի և պատասխանատուի հետ, և վերանայեք դրանք, այլ ոչ թե հայտնաբերեք մեկ խափանումից մյուսը։

Երբ բիզնեսն իսկապես թույլատրում է լայն արտաքին ծառայություն, գնահատեք այն լիազորությունը, որ այդ ծառայությունը տրամադրում է, այլ ոչ թե ենթադրեք, որ նպատակակետի պիտակը յուրաքանչյուր օգտագործում դարձնում է ընդունելի։

Չվերանայված բացառությունը անցք է տոմսի համարով։ Անուն, պատճառ և վերանայման ամսաթիվ ունեցող բացառությունը որոշում է։

Ընդունեք գրավոր պլանով, ոչ կարգախոսով

Ընդունումն ունի երկու կես. հաստատված աշխատանքը դեռ հաջողվում է, և կոնկրետ արգելված դեպքերը ձախողվում են լիազորված փորձարկման ընթացքում։ Երկուսն էլ պետք է գրվեն փոփոխությունից առաջ և կրկնվեն դրանից հետո։

Ներառեք վերջնակետի և քաղաքականության փոփոխությունները այդ վերանայման մեջ, քանի որ դյուրակիր համակարգչում ավելացված ուղին կարող է չեղարկել զտիչը, որն անթերի էր աշխատում եզրում։

Արդյունքը սեփական ելքի սահմանն է՝ մնացորդային ռիսկի հայտնի ցանկով։ Այն պնդումը, թե մի քանի փակ պորտեր վերջ դրեցին VPN-ի չարտոնված օգտագործմանը, դա չէ։