Memblokir Exit VPN Memblokir Alamat, Bukan Orang

Seseorang menambahkan alamat exit penyedia VPN ke daftar tolak, dan penyalahgunaan berhenti selama sehari. Lalu pelanggan yang kebetulan memakai penyedia yang sama membuka tiket, dan aturan itu ternyata lebih luas daripada yang dijelaskan siapa pun. Pemblokiran selalu merupakan keputusan tentang alamat; masalahnya, ia dijual sebagai keputusan tentang identitas. Pisahkan keduanya sebelum Anda menulis aturan berikutnya.

Aturan yang dapat Anda tegakkan adalah tentang alamat sumber

Aturan firewall mencocokkan sebuah bidang dalam paket, dan bidang yang Anda cocokkan adalah alamat sumber. Aturan itu dapat menolak lalu lintas dari alamat tersebut secara andal, yang merupakan efek nyata dan berguna. Ia tidak dapat memberi tahu siapa yang mengirim paket, akun apa yang dipakai, atau apakah orang itu sama dengan yang menyebabkan masalah kemarin. Menulis aturannya mudah; menjelaskan apa yang dibuktikannya adalah tempat tim keliru.

Jika tujuannya menghentikan perilaku tertentu, aturan alamat adalah alat tumpul yang kebetulan tersedia. Jika tujuannya mengidentifikasi pengguna, alamat adalah bukti yang salah dan autentikasi aplikasi adalah yang benar. Putuskan tujuan Anda sebelum aturan masuk produksi.

Apa yang sebenarnya diberitahukan pencarian registri

Pencarian registri mengembalikan alokasi dan kontak yang terdaftar untuk sebuah jaringan. Ia tidak mencantumkan layanan yang berjalan pada setiap alamat, dan tidak memberi tahu penyewa mana yang mengirim permintaan. Bahkan blok terdaftar yang kecil dapat berisi beban kerja tak terkait dari pelanggan berbeda.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Menyelesaikan nama host exit memberi Anda alamat yang dikembalikan pada saat itu, yaitu cuplikan, bukan inventaris. Memperluas satu jawaban ke seluruh prefiks hosting adalah keputusan terpisah dengan radius dampak lebih luas, bukan versi yang lebih lengkap dari bukti yang sama. Jika Anda memakai umpan klasifikasi terkelola, labelnya adalah dugaan dengan kesalahan yang diketahui di kedua arah. Itu bukan autentikasi, dan itu bukan daftar orang.

Berhentilah jika aturan yang diusulkan hanya dibenarkan oleh pencarian. Cuplikan bukan keputusan cakupan.

Exit bersama dan kerusakan sampingan

Exit bersama membawa banyak pengguna, dan ruang alamat bersama berarti satu alamat publik dapat mewakili seluruh kelompok pelanggan. Memblokirnya memengaruhi semuanya, termasuk mereka yang tidak ada hubungannya dengan penyalahgunaan. Memperluas ke prefiks sekitarnya melipatgandakan efek itu dan meningkatkan peluang layanan tak terkait ikut terkena. Kerusakan sampingan bukan efek samping yang dicatat kemudian; itu bagian dari definisi aturan.

Bukti paket punya batasnya sendiri. Alamat sumber dalam SYN tunggal dapat dipalsukan, jadi paket tidak menetapkan siapa yang memulai sesuatu. Status koneksi setengah terbuka menunjukkan bahwa jabat tangan dimulai, bukan bahwa pihak lawan bersalah atas serangan pantulan. Koneksi selesai mengatakan hal berbeda dari log aplikasi, dan sesi terautentikasi menyebut akun yang tidak disebut keduanya.

Pilih cakupan tersempit yang diizinkan kebijakan, dan tuliskan siapa yang diperkirakan terkena secara keliru.

Bukti yang perlu dicatat, dan jalan kembali bagi pengguna

Setiap aturan alamat harus membawa pengamatan yang membenarkannya, tanggal, cakupan, dan titik tinjau. Catatan itulah yang memungkinkan orang berikutnya menyusutkan aturan alih-alih menebak mengapa aturan itu ada. Tanpanya, blok sementara menjadi infrastruktur permanen.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Putuskan bagaimana pengguna sah memulihkan akses sebelum Anda menerapkan blok, karena antrean dukungan bukan rencana pemulihan. Jalur banding, pengecualian terdokumentasi, atau metode akses berbeda semuanya berhasil; menyuruh orang berhenti memakai VPN mereka tidak berhasil. Pasangkan aturan jaringan dengan kontrol yang sesuai perilaku: batas laju, izin akun lebih ketat, atau penegakan di dalam layanan itu sendiri. Pemblokiran exit VPN dapat mengurangi lalu lintas yang tidak diinginkan tanpa berpura-pura menjadi direktori pengguna.

Gejala yang perlu dijaga adalah jarak antara apa yang dilakukan aturan dan apa yang orang yakini dilakukannya. Blok menolak alamat. Akun mengidentifikasi pengguna. Jaga kalimat itu tetap terpisah di tiket, dan aturan berikutnya akan lebih mudah dipertahankan.