რატომ VPN პორტების დაბლოკვა არ აჩერებს არასანქცირებულ გვირაბებს

ცეცხლოვანი კედლის წესი უარყოფს იმ ტრაფიკს, რომელსაც ემთხვევა. ის არ უარყოფს დაშვებული კავშირის ყოველ გამოყენებას, და სწორედ ამ ნაპრალში მარცხდება არასანქცირებული გვირაბების წინააღმდეგ პოლიტიკების უმეტესობა. ხუთი წლის წინ პოპულარული კლიენტის პორტების დაბლოკვა უხელშეუხებელს ტოვებს ყველაფერს, რაც 443-ზე გადის, და არაფერს ამბობს მოწყობილობაზე, რომელსაც შეუძლია საკუთარი მარშრუტები გადაწეროს. ააგეთ კონტროლი უფლებამოსილებისა და დანიშნულებების გარშემო, შემდეგ წაიკითხეთ ის ნაკადები, რომლებსაც ნამდვილად უშვებთ.

რატომ არ არის პორტების სია პოლიტიკა

პორტები ტრანსპორტის დონის ცნებაა, და რამდენიმე გვირაბის ტექნოლოგია საერთოდ არ იყენებს მათ. სხვები განზრახ იზიარებენ პორტს ჩვეულებრივ ვებ-ტრაფიკთან, რადგან სწორედ ეს პორტია გარანტირებულად გამავალი. ამიტომ ისტორიულ პორტზე დაფუძნებული წესი ჩამოთვლის რამდენიმე იმპლემენტაციას და არა ქცევის კლასს. ის ასევე ცუდად ბერდება: იმ მომენტში, როცა პროვაიდერი ნაგულისხმევ მნიშვნელობებს ცვლის, სია წარსულს აღწერს.

უარესი, ერთი პორტის წარმატებული დაბლოკვა შეიძლება წაიკითხოს როგორც მტკიცებულება, რომ მთელი პრობლემა მოგვარებულია, რაც აყოვნებს იმ კონტროლებს, რომლებსაც მნიშვნელობა ექნებოდა.

პროტოკოლის ნომრები და პორტები სხვადასხვა სახელთა სივრცეებია

GRE-ს მინიჭებული აქვს IP პროტოკოლის ნომერი 47. ეს არ არის TCP პორტი 47 და არც UDP პორტი 47, და პორტისთვის დაწერილი ფილტრი მას არ ეხება. ESP და AH განლაგებულია პროტოკოლის 50 და 51 ნომრებზე იგივე თვისებით. შეფუთული ტრაფიკი შეიძლება დაიმალოს დაშვებული კავშირის შიგნითაც, ამიტომ კატეგორია ან ხელმოწერა შეიძლება დაეხმაროს, მაგრამ არასოდეს დაადასტუროს მიზანი დამოუკიდებლად. ნდობა და დაფარვა კონკრეტულ პროდუქტსა და გამოშვებას ეკუთვნის, არა ცნებას.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

პირველი ბრძანება გიჩვენებთ, რაც ნამდვილად დაწერეთ; მეორე გიჩვენებთ პროტოკოლების ცხრილს, რომელიც სტეკმა იცის; მესამე გიჩვენებთ, რამდენი სესია იყენებს ვებ-პორტს ახლა. არც ერთი მათგანი არ ამბობს, რისთვისაა ეს სესიები. TLS-ის ჩაჭრა ცალკე გადაწყვეტილებაა, საკუთარი ხარჯებით ნდობაში, კონფიდენციალურობასა და კლიენტთან თავსებადობაში. ის არ არის წინაპირობა დასახელებული დანიშნულების უარსაყოფად და არც გვირაბების ამოცნობის გარანტია.

მართეთ მოწყობილობის უფლებამოსილება

მოწყობილობას, რომელსაც შეუძლია საკუთარი მარშრუტიზაციის ცხრილისა და ფილტრაციის შეცვლა, აქვს შესაძლებლობები, რომლებიც ჩვეულებრივ აპლიკაციას არ აქვს. დაშვებისა და კონფიგურაციის მართვაა ის, რაც ამ შესაძლებლობას აცილებს, და ის მოქმედებს იმის მიუხედავად, რომელ პორტს გამოიყენებდა გვირაბი.

ეს ნიშნავს, რომ დამტკიცებული მიერთებები იღებენ თავიანთ გამოცხადებულ როლს სხვა მოწყობილობებისთვის გადაცემის შეუზღუდავი ნებართვის ნაცვლად, და ნიშნავს, რომ ინსტალაციისა და ქსელის ადმინისტრირების უფლებები პოლიტიკის ნაწილია და არა გვიანდელი ფიქრი.

დააკვირდით დარჩენილ ნაკადებს. დააკავშირეთ მოწყობილობის იდენტობა, მინიჭებული როლი და ნაკადის მეტამონაცემები, და კლასიფიკაცია განიხილეთ როგორც შეზღუდვებიანი მტკიცებულება და არა განაჩენი.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

გრძელვადიანი დაშიფრული სესია ან ბაიტების დიდი რაოდენობა არ არის ბოროტად გამოყენების მტკიცებულება: სარეზერვო ასლები, მხარდაჭერის ხელსაწყოები და საიტებს შორის კავშირები ერთნაირად გამოიყურება. შეზღუდეთ შეგროვება გამოძიებით და შეინახეთ ნაპოვნი იმ პროცესის ქვეშ, რომელსაც ის ეკუთვნის.

გაამჟღავნეთ გამონაკლისები

ყველა გარემოს აქვს დანიშნულებები, რომლებიც უნდა დარჩეს მისაწვდომი განახლებებისთვის, აუთენტიფიკაციისთვის და აღდგენისთვის. ჩაწერეთ ისინი მიზნითა და პასუხისმგებელ პირთან ერთად, და გადახედეთ მათ ნაცვლად იმისა, რომ აღმოაჩინოთ ერთი ხარვეზის შემდეგ მეორე.

როცა ბიზნესი ნამდვილად უშვებს ფართო გარე სერვისს, შეაფასეთ ის უფლებამოსილება, რომელსაც ეს სერვისი იძლევა, ნაცვლად იმისა, რომ ივარაუდოთ, თითქოს დანიშნულების იარლიყი ყოველ გამოყენებას მისაღებს ხდის.

გაუნახავი გამონაკლისი ნახვრეტია ბილეთის ნომრით. სახელის, მიზეზისა და განხილვის თარიღის მქონე გამონაკლისი გადაწყვეტილებაა.

მიიღეთ წერილობითი გეგმით და არა ლოზუნგით

მიღებას ორი ნახევარი აქვს: დამტკიცებული სამუშაო კვლავ წარმატებით სრულდება, და კონკრეტული აკრძალული შემთხვევები უფლებამოსილ ტესტში მარცხდება. ორივე ცვლილებამდე უნდა დაიწეროს და მის შემდეგ გამეორდეს.

შეიტანეთ ამ განხილვაში საბოლოო წერტილისა და პოლიტიკის ცვლილებები, რადგან ლეპტოპზე დამატებულმა მარშრუტმა შეიძლება გააუქმოს ფილტრი, რომელიც კიდეზე უნაკლოდ მუშაობდა.

შედეგია საკუთარი გასასვლელი საზღვარი დარჩენილი რისკის ცნობილი სიით. მტკიცება, რომ რამდენიმე დახურულმა პორტმა დაასრულა VPN-ის არასანქცირებული გამოყენება, ეს არ არის.