Hvers vegna blokkun VPN-porta stöðvar ekki óheimil göng

Eldveggsregla synjar umferðinni sem hún passar við. Hún synjar ekki hverri notkun tengingar sem hún leyfir, og það er í þessari eyðu sem flestar stefnur gegn óheimilum göngum mistakast. Að loka portum þess biðlarans sem var vinsæll fyrir fimm árum skilur eftir ósnortið allt sem fer um 443, og segir ekkert um tæki sem getur endurskrifað eigin leiðir. Byggðu stýringuna í kringum heimild og áfangastaði, og lestu síðan flæðin sem þú leyfir í raun.

Hvers vegna portalisti er ekki stefna

Portar eru hugtak á flutningslagi, og nokkrar göngutækni nota þá alls ekki. Aðrir deila viljandi porti með venjulegri vefumferð því það port er það sem er tryggt að fari í gegn. Regla sem byggir á sögulegu porti telur því upp handfylli útfærslna í stað hegðunarflokksins. Hún eldist líka illa: um leið og þjónustuaðili breytir sjálfgefnum gildum lýsir listinn fortíðinni.

Verra enn, farsæl blokkun á einu porti er hægt að lesa sem sönnun þess að allt vandamálið sé leyst, sem seinkar þá stýringum sem hefðu skipt máli.

Prótókólnúmer og port eru mismunandi nafnarými

GRE er úthlutað IP-prótókólnúmerinu 47. Það er ekki TCP-port 47 og ekki UDP-port 47, og sía skrifuð fyrir port snertir það ekki. ESP og AH sitja á prótókólnúmerunum 50 og 51 með sama eiginleika. Innpökkuð umferð getur líka falið sig inni í leyfðri tengingu, þess vegna getur flokkur eða undirskrift hjálpað en staðfestir aldrei tilganginn eitt og sér. Traust og þekja tilheyra tiltekinni vöru og útgáfu, ekki hugtakinu.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Fyrsta skipunin sýnir hvað þú skrifaðir í raun; önnur sýnir prótókóltöfluna sem stakkurinn þekkir; þriðja sýnir hversu margar lotur nota vefportið núna. Ekkert þeirra segir til hvers þessar lotur eru. TLS-hlustun er sérstök ákvörðun með eigin kostnaði vegna trausts, persónuverndar og biðlarasamhæfis. Hún er ekki forsenda þess að synja nafngreindum áfangastað, og hún er ekki heldur trygging fyrir því að göng þekkist.

Stýrðu heimildinni sem tækið hefur

Tæki sem getur breytt eigin beiningartöflu og síun hefur getu sem venjulegt forrit hefur ekki. Aðgangs- og uppsetningarstjórnun er það sem fjarlægir þessa getu, og hún verkar óháð því hvaða port göngin myndu nota.

Það þýðir að samþykktar tengingar fá tilgreint hlutverk sitt í stað ótakmarkaðrar heimildar til að senda fyrir önnur tæki, og það þýðir að uppsetningar- og netstjórnunarréttindi eru hluti stefnunnar í stað eftiráhugsunar.

Fylgstu með flæðunum sem eftir eru. Tengdu auðkenni tækis, úthlutað hlutverk og lýsigögn flæðis, og meðhöndlaðu flokkun sem sönnun með takmörkunum en ekki sem dóm.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Langlíf dulkóðuð lota eða stór bætatala er ekki sönnun um misnotkun: öryggisafrit, stuðningstól og staðartengingar líta eins út. Haltu söfnuninni innan rannsóknarinnar og varðveittu það sem þú finnur undir ferlinu sem á það.

Gerðu undantekningarnar skýrar

Sérhvert umhverfi hefur áfangastaði sem verða að vera aðgengilegir fyrir uppfærslur, auðkenningu og endurheimt. Skrifaðu þá niður með tilgangi og ábyrgðarmanni, og farðu yfir þá í stað þess að uppgötva þá eitt niðurfall í einu.

Þegar fyrirtækið leyfir í raun víðtæka ytri þjónustu, mettu heimildina sem sú þjónusta veitir í stað þess að gera ráð fyrir að merkimiði áfangastaðar geri hverja notkun ásættanlega.

Óyfirfarin undantekning er gat með miðanúmeri. Undantekning með nafni, ástæðu og yfirferðardagsetningu er ákvörðun.

Samþykktu með skriflegri áætlun, ekki slagorði

Samþykkt hefur tvo helminga: samþykkt vinna tekst enn, og tilteknu bönnuðu tilfellin mistakast í heimilaðri prófun. Bæði þarf að skrifa fyrir breytinguna og endurtaka eftir hana.

Láttu endapunktar- og stefnubreytingar fylgja með í þeirri yfirferð, því leið sem bætt er við á fartölvu getur afturkallað síu sem virkaði fullkomlega á jaðrinum.

Afurðin er eigin útgöngumörk með þekktum lista yfir eftirstandandi áhættu. Að fullyrða að nokkrir lokaðir portar hafi bundið enda á óheimila VPN-notkun er ekki það.