Bloccare un’uscita VPN blocca un indirizzo, non una persona

Qualcuno aggiunge l’indirizzo di uscita di un fornitore VPN a una lista di blocco, e l’abuso si ferma per un giorno. Poi un cliente che per caso usa lo stesso fornitore apre un ticket, e la regola si rivela più ampia di quanto chiunque avesse descritto. Il blocco è sempre stato una decisione su un indirizzo; il problema è che è stato venduto come una decisione su un’identità. Separate le due cose prima di scrivere la regola successiva.

La regola che potete applicare riguarda un indirizzo di origine

Una regola del firewall corrisponde a un campo del pacchetto, e il campo a cui corrispondete è l’indirizzo di origine. Quella regola può rifiutare in modo affidabile il traffico da quell’indirizzo, il che è un effetto reale e utile. Non può dirvi chi ha inviato il pacchetto, quale account è stato usato né se è la stessa persona che ha causato il problema di ieri. Scrivere la regola è facile; descrivere che cosa dimostra è dove i team sbagliano.

Se l’obiettivo è fermare un comportamento specifico, una regola di indirizzo è uno strumento spuntato che per caso è disponibile. Se l’obiettivo è identificare un utente, l’indirizzo è la prova sbagliata e l’autenticazione dell’applicazione è quella giusta. Decidete quale obiettivo avete prima che la regola entri in produzione.

Che cosa dice davvero una ricerca nel registro

Una ricerca nel registro restituisce l’assegnazione e i contatti registrati per una rete. Non elenca i servizi in esecuzione su ogni indirizzo e non vi dice quale inquilino ha inviato una richiesta. Anche un piccolo blocco registrato può contenere carichi di lavoro non correlati di clienti diversi.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Risolvere un nome host di uscita vi dà gli indirizzi restituiti in quel momento, cioè un’istantanea e non un inventario. Estendere una risposta all’intero prefisso di hosting è una decisione separata con un raggio d’azione più ampio, non una versione più completa della stessa prova. Se usate un feed di classificazione mantenuto, la sua etichetta è una congettura con errori noti in entrambe le direzioni. Non è autenticazione e non è un elenco di persone.

Fermatevi se la regola proposta è giustificata solo da una ricerca. Un’istantanea non è una decisione di ambito.

Uscite condivise e danni collaterali

Un’uscita condivisa trasporta molti utenti, e spazio di indirizzamento condiviso significa che un indirizzo pubblico può rappresentare un intero gruppo di abbonati. Bloccarla li colpisce tutti, compresi quelli senza alcun legame con l’abuso. Estendere il blocco al prefisso circostante moltiplica quell’effetto e aumenta la probabilità che un servizio non correlato resti coinvolto. Il danno collaterale non è un effetto collaterale da annotare dopo; fa parte della definizione della regola.

Le prove dei pacchetti hanno i propri limiti. Un indirizzo di origine in un SYN isolato può essere falsificato, quindi il pacchetto non stabilisce chi ha iniziato qualcosa. Uno stato di connessione semiaperta mostra che è iniziata una stretta di mano, non che la controparte sia colpevole di un attacco di riflessione. Una connessione conclusa dice qualcosa di diverso da un registro applicativo, e una sessione autenticata nomina un account che nessuno dei due nomina.

Scegliete l’ambito più stretto che la politica consente, e annotate chi si prevede venga colpito per errore.

Prove da registrare e una via di ritorno per gli utenti

Ogni regola di indirizzo dovrebbe portare con sé l’osservazione che l’ha giustificata, la data, l’ambito e un punto di revisione. È quella registrazione che permette alla persona successiva di ridurre la regola invece di indovinare perché esiste. Senza di essa, un blocco temporaneo diventa infrastruttura permanente.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Decidete come un utente legittimo recupera l’accesso prima di distribuire il blocco, perché una coda di supporto non è un piano di ripristino. Un percorso di ricorso, un’eccezione documentata o un metodo di accesso diverso funzionano; dire alle persone di smettere di usare la loro VPN non funziona. Abbinate la regola di rete a controlli adatti al comportamento: limiti di velocità, autorizzazioni dell’account più strette o applicazione all’interno del servizio stesso. Un blocco dell’uscita VPN può ridurre il traffico indesiderato senza pretendere di essere una directory di utenti.

Il sintomo da tenere d’occhio è lo scarto tra ciò che la regola fa e ciò che le persone credono che faccia. Un blocco rifiuta un indirizzo. Un account identifica un utente. Tenete queste frasi separate nel ticket, e la regola successiva sarà più facile da difendere.