VPN порттарын блоктау рұқсатсыз туннельдерді неге тоқтатпайды

Өрт қабырғасы ережесі сәйкес келетін трафикті қабылдамайды. Ол рұқсат ететін қосылыстың әрбір қолданысын қабылдамайды, және рұқсатсыз туннельдерге қарсы көптеген саясат дәл осы алшақтықта сәтсіздікке ұшырайды. Бес жыл бұрын танымал болған клиенттің порттарын блоктау 443 арқылы өтетіннің бәрін тиіспеген күйде қалдырады және өз маршруттарын қайта жаза алатын құрылғы туралы ештеңе айтпайды. Бақылауды өкілеттік пен межелердің айналасында құрыңыз, содан кейін шын мәнінде рұқсат ететін ағындарды оқыңыз.

Порт тізімі неге саясат емес

Порттар — тасымалдау деңгейінің ұғымы, және бірнеше туннель технологиясы оларды мүлде пайдаланбайды. Басқалары әдеттегі веб-трафикпен портты әдейі бөліседі, өйткені дәл сол порт кепілді түрде өткізіледі. Тарихи портқа байланған ереже сондықтан мінез-құлық класын емес, бірнеше іске асыруды санамалайды. Ол да нашар ескіреді: провайдер әдепкі мәндерді өзгерткен сәтте тізім өткенді сипаттайды.

Одан бетер, бір портты сәтті блоктауды бүкіл мәселе шешілді деген дәлел ретінде оқуға болады, бұл маңызды болар еді бақылауларды кейінге қалдырады.

Протокол нөмірлері мен порттар — әртүрлі атау кеңістіктері

GRE-ге IP протоколының 47 нөмірі берілген. Бұл TCP 47 порты да, UDP 47 порты да емес, және порт үшін жазылған сүзгі оған тимейді. ESP мен AH бірдей қасиетпен 50 және 51 протокол нөмірлерінде орналасқан. Инкапсуляцияланған трафик рұқсат етілген қосылыстың ішінде де жасырына алады, сондықтан санат немесе қолтаңба көмектесуі мүмкін, бірақ өздігінен мақсатты ешқашан растамайды. Сенім мен қамту нақты өнім мен шығарылымға жатады, тұжырымдамаға емес.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Бірінші команда шын мәнінде не жазғаныңызды көрсетеді; екіншісі стек білетін протокол кестесін көрсетеді; үшіншісі веб-портты дәл қазір қанша сессия пайдаланып жатқанын көрсетеді. Олардың ешқайсысы бұл сессиялардың не үшін екенін айтпайды. TLS-ті ұстап алу — сенім, құпиялылық және клиенттермен үйлесімділік шығындары бар жеке шешім. Бұл аталған межені қабылдамау үшін алғышарт емес және туннельдерді тануға кепілдік те емес.

Құрылғының өкілеттігін бақылаңыз

Өзінің маршруттау кестесі мен сүзгілеуін өзгерте алатын құрылғының қарапайым қолданбада жоқ мүмкіндіктері бар. Рұқсат беру мен конфигурацияны басқару — дәл осы мүмкіндікті жоятын нәрсе, және ол туннель қай портты пайдаланатынына қарамастан әрекет етеді.

Бұл бекітілген қосылымдар басқа құрылғылар үшін жіберуге шексіз рұқсаттың орнына өздерінің мәлімделген рөлін алатынын білдіреді, және орнату мен желі әкімшілігі құқықтары саясаттың бөлігі екенін, кейінгі ой емес екенін білдіреді.

Қалған ағындарды бақылаңыз. Құрылғы сәйкестігін, берілген рөлді және ағын метадеректерін корреляциялаңыз, ал жіктеуді шешім емес, шектеулері бар дәлел ретінде қарастырыңыз.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Ұзақ мерзімді шифрланған сессия немесе үлкен байт саны теріс пайдаланудың дәлелі емес: сақтық көшірмелер, қолдау құралдары және алаңдар арасындағы байланыстар бірдей көрінеді. Жинауды тергеу шеңберімен шектеңіз және тапқаныңызды оған иелік ететін процестің аясында сақтаңыз.

Ерекшеліктерді айқын етіңіз

Әр ортада жаңартулар, аутентификация және қалпына келтіру үшін қолжетімді болып қалуы тиіс межелер бар. Оларды мақсат пен жауапты тұлғамен жазып алыңыз және бір-бірінен кейін анықтаудың орнына оларды қарап шығыңыз.

Бизнес шынымен кең сыртқы қызметке рұқсат бергенде, сол қызмет ұсынатын өкілеттікті бағалаңыз, ал меже белгісі кез келген қолданысты қолайлы етеді деп болжамаңыз.

Қаралмаған ерекшелік — билет нөмірі бар тесік. Атауы, себебі және қарау күні бар ерекшелік — шешім.

Ұранмен емес, жазбаша жоспармен қабылдаңыз

Қабылдаудың екі жартысы бар: бекітілген жұмыс әлі де сәтті орындалады, ал нақты тыйым салынған жағдайлар өкілеттік берілген тесте сәтсіздікке ұшырайды. Екеуін де өзгеріске дейін жазып, одан кейін қайталау керек.

Бұл қарауға соңғы нүктелер мен саясат өзгерістерін қосыңыз, өйткені ноутбукте қосылған маршрут шеткі жақта мінсіз жұмыс істеген сүзгіні жоюы мүмкін.

Нәтиже — қалған тәуекелдің белгілі тізімі бар өзіндік шығу шекарасы. Бірнеше жабық порт рұқсатсыз VPN қолданысын тоқтатты деп мәлімдеу — бұл ол емес.