VPN-ის გასასვლელის დაბლოკვა მისამართს ბლოკავს და არა ადამიანს

ვიღაც VPN პროვაიდერის გასასვლელის მისამართს აკრძალულთა სიაში ამატებს და ბოროტად გამოყენება ერთი დღით წყდება. შემდეგ მომხმარებელი, რომელიც შემთხვევით იმავე პროვაიდერს იყენებს, ბილეთს ხსნის და წესი უფრო ფართო აღმოჩნდება, ვიდრე ვინმემ აღწერა. ბლოკი ყოველთვის მისამართზე მიღებული გადაწყვეტილება იყო; პრობლემა ისაა, რომ ის იდენტობაზე მიღებულ გადაწყვეტილებად გაიყიდა. გამოყავით ეს ორი, სანამ შემდეგ წესს დაწერთ.

წესი, რომლის აღსრულებაც შეგიძლიათ, წყაროს მისამართს ეხება

ქსელური ეკრანის წესი პაკეტში არსებულ ველს ემთხვევა და ველი, რომელსაც ამთხვევთ, წყაროს მისამართია. ამ წესს შეუძლია საიმედოდ უარყოს ამ მისამართიდან მომავალი ტრაფიკი, რაც რეალური და სასარგებლო ეფექტია. მაგრამ მას არ შეუძლია გითხრათ, ვინ გაგზავნა პაკეტი, რომელი ანგარიში გამოიყენეს ან იგივე ადამიანია თუ არა, ვინც გუშინდელი პრობლემა გამოიწვია. წესის დაწერა ადვილია; იმის ახსნა, რასაც ის ამტკიცებს, არის ადგილი, სადაც გუნდები ცდებიან.

თუ მიზანი კონკრეტული ქცევის შეჩერებაა, მისამართის წესი ბლაგვი იარაღია, რომელიც შემთხვევით ხელთაა. თუ მიზანი მომხმარებლის იდენტიფიკაციაა, მისამართი არასწორი მტკიცებულებაა და აპლიკაციის აუტენტიფიკაცია სწორი. გადაწყვიტეთ, რომელი მიზანი გაქვთ, სანამ წესი წარმოებაში გადავა.

რას გეუბნებათ სინამდვილეში რეგისტრის მოთხოვნა

რეგისტრის მოთხოვნა აბრუნებს ქსელისთვის გამოყოფილ ბლოკს და რეგისტრირებულ კონტაქტებს. ის არ ჩამოთვლის თითოეულ მისამართზე მომუშავე სერვისებს და არ გეუბნებათ, რომელმა მოიჯარემ გაგზავნა მოთხოვნა. პატარა რეგისტრირებული ბლოკიც კი შეიძლება შეიცავდეს სხვადასხვა კლიენტის დაუკავშირებელ დატვირთვებს.

dig +short exit.example.net
whois 203.0.113.0 | head -40

გასასვლელის ჰოსტის სახელის ამოხსნა გაძლევთ იმ მისამართებს, რომლებიც იმ მომენტში დაბრუნდა, ეს არის კადრი და არა ინვენტარი. ერთი პასუხის მთელ ჰოსტინგის პრეფიქსზე გავრცელება ცალკე გადაწყვეტილებაა უფრო ფართო გავლენით და არა იმავე მტკიცებულების უფრო სრული ვერსია. თუ იყენებთ მხარდაჭერილ კლასიფიკაციის ნაკადს, მისი ეტიკეტი ვარაუდია ორივე მიმართულებით ცნობილი შეცდომებით. ეს არ არის აუტენტიფიკაცია და არ არის ადამიანების სია.

შეჩერდით, თუ შემოთავაზებული წესი მხოლოდ მოთხოვნით მართლდება. კადრი არ არის ფარგლების გადაწყვეტილება.

საერთო გასასვლელები და გვერდითი ზიანი

საერთო გასასვლელი ბევრ მომხმარებელს ატარებს და საერთო მისამართების სივრცე ნიშნავს, რომ ერთი საჯარო მისამართი შეიძლება წარმოადგენდეს აბონენტთა მთელ ჯგუფს. მისი დაბლოკვა ყველა მათგანზე მოქმედებს, მათ შორის მათზე, ვისაც ბოროტად გამოყენებასთან კავშირი არ აქვს. მიმდებარე პრეფიქსზე გავრცელება ამ ეფექტს ამრავლებს და ზრდის დაუკავშირებელი სერვისის მოხვედრის ალბათობას. გვერდითი ზიანი არ არის მოგვიანებით აღსანიშნი გვერდითი ეფექტი; ის წესის განსაზღვრების ნაწილია.

პაკეტურ მტკიცებულებებს თავისი საზღვრები აქვს. იზოლირებულ SYN-ში წყაროს მისამართი შეიძლება გაყალბდეს, ამიტომ პაკეტი არ ადგენს, ვინ დაიწყო რამე. ნახევრად ღია კავშირის მდგომარეობა აჩვენებს, რომ ხელის ჩამორთმევა დაიწყო და არა ის, რომ მოპირდაპირე მხარე დამნაშავეა არეკვლის შეტევაში. დასრულებული კავშირი სხვა რამეს ამბობს, ვიდრე აპლიკაციის ჟურნალი, ხოლო აუტენტიფიცირებული სესია ასახელებს ანგარიშს, რომელსაც არც ერთი მათგანი არ ასახელებს.

აირჩიეთ ყველაზე ვიწრო ფარგლები, რომელსაც პოლიტიკა უშვებს, და ჩაწერეთ, ვინ, სავარაუდოდ, შეცდომით მოხვდება.

ჩასაწერი მტკიცებულებები და დაბრუნების გზა მომხმარებლებისთვის

ყოველ მისამართის წესს უნდა ახლდეს დაკვირვება, რომელმაც ის გაამართლა, თარიღი, ფარგლები და გადახედვის წერტილი. სწორედ ეს ჩანაწერი აძლევს შემდეგ ადამიანს საშუალებას შეავიწროოს წესი იმის ნაცვლად, რომ გამოიცნოს, რატომ არსებობს ის. მის გარეშე დროებითი ბლოკი მუდმივ ინფრასტრუქტურად იქცევა.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

გადაწყვიტეთ, როგორ აღიდგენს ლეგიტიმური მომხმარებელი წვდომას, სანამ ბლოკს განათავსებთ, რადგან მხარდაჭერის რიგი აღდგენის გეგმა არ არის. სააპელაციო გზა, დოკუმენტირებული გამონაკლისი ან წვდომის სხვა მეთოდი მუშაობს; ადამიანებს ვუთხრათ, რომ შეწყვიტონ VPN-ის გამოყენება, არ მუშაობს. დააკავშირეთ ქსელური წესი ქცევის შესაბამის კონტროლებთან: სიჩქარის ლიმიტები, უფრო მკაცრი ანგარიშის ნებართვები ან აღსრულება თავად სერვისის შიგნით. VPN-ის გასასვლელის ბლოკი შეიძლება ამცირებდეს არასასურველ ტრაფიკს იმის გარეშე, რომ თავი მომხმარებელთა კატალოგად მოაჩვენოს.

სიმპტომი, რომელიც მხედველობაში უნდა გქონდეთ, არის სხვაობა იმას შორის, რასაც წესი აკეთებს და იმას შორის, რისიც ხალხს სჯერა. ბლოკი უარყოფს მისამართს. ანგარიში იდენტიფიცირებს მომხმარებელს. ეს წინადადებები ბილეთში ცალ-ცალკე შეინახეთ და შემდეგი წესის დაცვა უფრო ადვილი იქნება.