Mengapa memblokir port VPN tidak menghentikan terowongan tanpa izin

Aturan firewall menolak lalu lintas yang cocok dengannya. Aturan itu tidak menolak setiap penggunaan koneksi yang diizinkannya, dan di celah itulah sebagian besar kebijakan terhadap terowongan tanpa izin gagal. Memblokir port klien yang populer lima tahun lalu membiarkan semua yang lewat 443 tidak tersentuh, dan tidak mengatakan apa pun tentang perangkat yang dapat menulis ulang rutenya sendiri. Bangun kendali di sekitar kewenangan dan tujuan, lalu baca aliran yang benar-benar Anda izinkan.

Mengapa daftar port bukan kebijakan

Port adalah konsep lapisan transport, dan beberapa teknologi terowongan sama sekali tidak menggunakannya. Yang lain sengaja berbagi port dengan lalu lintas web biasa karena port itulah yang dijamin lolos. Aturan yang dikunci pada port historis karenanya menyebut beberapa implementasi, bukan kelas perilaku. Aturan itu juga cepat usang: begitu penyedia mengubah nilai default, daftar tersebut menggambarkan masa lalu.

Lebih buruk lagi, pemblokiran yang berhasil pada satu port dapat dibaca sebagai bukti bahwa seluruh masalah telah selesai, yang kemudian menunda kendali yang seharusnya penting.

Nomor protokol dan port adalah ruang nama yang berbeda

GRE diberi nomor protokol IP 47. Itu bukan port TCP 47 dan bukan port UDP 47, dan filter yang ditulis untuk port tidak menyentuhnya. ESP dan AH berada pada nomor protokol 50 dan 51 dengan sifat yang sama. Lalu lintas terenkapsulasi juga dapat bersembunyi di dalam koneksi yang diizinkan, karena itu kategori atau tanda tangan dapat membantu tetapi tidak pernah membuktikan tujuan dengan sendirinya. Keyakinan dan cakupan milik produk dan rilis tertentu, bukan konsep.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Perintah pertama menunjukkan apa yang sebenarnya Anda tulis; yang kedua menunjukkan tabel protokol yang dikenal tumpukan; yang ketiga menunjukkan berapa banyak sesi yang memakai port web saat ini. Tidak satu pun memberi tahu untuk apa sesi itu. Intersepsi TLS adalah keputusan terpisah dengan biaya kepercayaan, privasi, dan kompatibilitas klien tersendiri. Itu bukan prasyarat untuk menolak tujuan bernama, dan juga bukan jaminan pengenalan terowongan.

Kendalikan kewenangan yang dimiliki perangkat

Perangkat yang dapat mengubah tabel perutean dan penyaringannya sendiri memiliki kemampuan yang tidak dimiliki aplikasi biasa. Manajemen penerimaan dan konfigurasi adalah yang menghapus kemampuan itu, dan ia bekerja terlepas dari port mana yang akan dipakai terowongan.

Ini berarti sambungan yang disetujui mendapat peran yang dideklarasikan alih-alih izin tanpa batas untuk meneruskan bagi perangkat lain, dan berarti hak pemasangan serta administrasi jaringan adalah bagian dari kebijakan alih-alih renungan belakangan.

Amati aliran yang tersisa. Korelasikan identitas perangkat, peran yang diberikan, dan metadata aliran, dan perlakukan klasifikasi sebagai bukti dengan batas alih-alih putusan.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Sesi terenkripsi yang berlangsung lama atau jumlah byte yang besar bukan bukti penyalahgunaan: cadangan, alat dukungan, dan tautan antar lokasi terlihat sama. Batasi pengumpulan pada penyelidikan dan simpan apa yang Anda temukan di bawah proses yang memilikinya.

Buat pengecualian menjadi eksplisit

Setiap lingkungan memiliki tujuan yang harus tetap dapat dijangkau untuk pembaruan, autentikasi, dan pemulihan. Catat bersama tujuan dan pemiliknya, dan tinjau alih-alih menemukannya satu gangguan demi satu.

Ketika bisnis benar-benar mengizinkan layanan eksternal yang luas, nilai kewenangan yang diberikan layanan itu alih-alih menganggap label tujuan membuat setiap penggunaan dapat diterima.

Pengecualian yang tidak ditinjau adalah lubang dengan nomor tiket. Pengecualian dengan nama, alasan, dan tanggal tinjauan adalah keputusan.

Terima dengan rencana tertulis, bukan slogan

Penerimaan memiliki dua bagian: pekerjaan yang disetujui tetap berhasil, dan kasus terlarang yang spesifik gagal dalam uji yang diotorisasi. Keduanya harus ditulis sebelum perubahan dan diulang setelahnya.

Sertakan perubahan titik akhir dan kebijakan dalam tinjauan itu, karena rute yang ditambahkan di laptop dapat membatalkan filter yang bekerja sempurna di tepi.

Hasil serahannya adalah batas keluar yang dimiliki dengan daftar risiko sisa yang diketahui. Mengklaim bahwa beberapa port yang ditutup mengakhiri penggunaan VPN tanpa izin bukanlah itu.