VPN шығысын блоктау мекенжайды блоктайды, адамды емес

Біреу VPN провайдерінің шығыс мекенжайын тыйым салынғандар тізіміне қосады, ал теріс пайдалану бір күнге тоқтайды. Содан кейін сол провайдерді кездейсоқ пайдаланатын клиент өтініш ашады, ал ереже біреудің сипаттағанынан кеңірек болып шығады. Блоктау әрқашан мекенжай туралы шешім еді; мәселе оның сәйкестік туралы шешім ретінде сатылғанында. Келесі ережені жазбас бұрын екеуін бөліңіз.

Сіз орындай алатын ереже бастапқы мекенжай туралы

Желіаралық қалқан ережесі пакеттегі өріспен сәйкеседі, ал сіз сәйкестендіретін өріс — бастапқы мекенжай. Бұл ереже сол мекенжайдан келетін трафикті сенімді түрде қабылдамай алады, бұл нақты және пайдалы әсер. Бірақ ол пакетті кім жібергенін, қандай тіркелгі пайдаланылғанын немесе кешегі мәселені тудырған адам сол ма екенін айта алмайды. Ережені жазу оңай; оның нені дәлелдейтінін сипаттау — командалар қателесетін жер.

Егер мақсат нақты мінез-құлықты тоқтату болса, мекенжай ережесі кездейсоқ қолда бар доғал құрал. Егер мақсат пайдаланушыны анықтау болса, мекенжай қате дәлел, ал қолданбаның аутентификациясы дұрыс дәлел. Ереже өндіріске шықпас бұрын қандай мақсат бар екенін шешіңіз.

Тіркеу сұрауы шын мәнінде не айтады

Тіркеу сұрауы желі үшін бөлінген блокты және тіркелген байланыстарды қайтарады. Ол әр мекенжайда жұмыс істейтін қызметтерді тізімдемейді және сұрауды қай жалдаушы жібергенін айтпайды. Тіпті шағын тіркелген блок та әртүрлі клиенттердің байланыспаған жүктемелерін қамтуы мүмкін.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Шығыс хост атауын шешу сізге сол сәтте қайтарылған мекенжайларды береді, бұл түгендеу емес, сурет. Бір жауапты бүкіл хостинг префиксіне кеңейту — әсер ауқымы кеңірек жеке шешім, сол дәлелдің толығырақ нұсқасы емес. Егер сіз қолдау көрсетілетін жіктеу ағынын пайдалансаңыз, оның белгісі екі бағытта да белгілі қателері бар болжам. Бұл аутентификация емес және адамдар тізімі емес.

Егер ұсынылған ереже тек сұраумен негізделсе, тоқтаңыз. Сурет ауқым туралы шешім емес.

Ортақ шығыстар және жанама зиян

Ортақ шығыс көптеген пайдаланушыларды тасымалдайды, ал ортақ мекенжай кеңістігі бір жария мекенжай абоненттердің бүкіл тобын білдіруі мүмкін дегенді білдіреді. Оны блоктау олардың барлығына әсер етеді, теріс пайдалануға қатысы жоқ адамдарды қоса. Айналадағы префикске кеңейту бұл әсерді бірнеше есе арттырады және байланыспаған қызметтің ұсталу ықтималдығын арттырады. Жанама зиян кейін жазылатын жанама әсер емес; ол ереженің анықтамасының бөлігі.

Пакет дәлелдерінің өз шектері бар. Оқшауланған SYN ішіндегі бастапқы мекенжайды қолдан жасауға болады, сондықтан пакет кімнің бірдеңе бастағанын анықтамайды. Жартылай ашық қосылым күйі қол алысудың басталғанын көрсетеді, қарсы тараптың шағылысу шабуылында кінәлі екенін емес. Аяқталған қосылым қолданба журналынан өзгеше нәрсе айтады, ал аутентификацияланған сессия екеуі де атамайтын тіркелгіні атайды.

Саясат рұқсат ететін ең тар ауқымды таңдаңыз және қателікпен кім ұсталуы мүмкін екенін жазыңыз.

Жазылатын дәлелдер және пайдаланушылар үшін қайту жолы

Әр мекенжай ережесі оны негіздеген байқауды, күнді, ауқымды және қарау нүктесін алып жүруі керек. Дәл сол жазба келесі адамға ереженің не үшін бар екенін болжаудың орнына оны тарылтуға мүмкіндік береді. Онсыз уақытша блок тұрақты инфрақұрылымға айналады.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Блокты орналастырмас бұрын заңды пайдаланушының қалай қолжетімділікті қалпына келтіретінін шешіңіз, өйткені қолдау кезегі қалпына келтіру жоспары емес. Шағым жолы, құжатталған ерекшелік немесе басқа қолжетімділік әдісі жұмыс істейді; адамдарға VPN пайдалануды тоқтатуды айту жұмыс істемейді. Желі ережесін мінез-құлыққа сай бақылаулармен ұштастырыңыз: жылдамдық шектеулері, неғұрлым қатаң тіркелгі рұқсаттары немесе қызметтің ішіндегі орындау. VPN шығысын блоктау өзін пайдаланушылар каталогы ретінде көрсетпей-ақ қажетсіз трафикті азайта алады.

Назарда ұстау керек симптом — ереженің істейтіні мен адамдар оның істейді деп сенетіні арасындағы алшақтық. Блок мекенжайдан бас тартады. Тіркелгі пайдаланушыны анықтайды. Осы сөйлемдерді өтініште бөлек ұстаңыз, келесі ережені қорғау оңайырақ болады.