VPN ಪೋರ್ಟ್‌ಗಳನ್ನು ನಿರ್ಬಂಧಿಸುವುದು ಅನಧಿಕೃತ ಸುರಂಗಗಳನ್ನು ಏಕೆ ನಿಲ್ಲಿಸುವುದಿಲ್ಲ

ಫೈರ್‌ವಾಲ್ ನಿಯಮವು ತಾನು ಹೊಂದಿಕೆಯಾಗುವ ಸಂಚಾರವನ್ನು ನಿರಾಕರಿಸುತ್ತದೆ. ಅದು ಅನುಮತಿಸುವ ಸಂಪರ್ಕದ ಪ್ರತಿಯೊಂದು ಬಳಕೆಯನ್ನೂ ನಿರಾಕರಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಅನಧಿಕೃತ ಸುರಂಗಗಳ ವಿರುದ್ಧದ ಹೆಚ್ಚಿನ ನೀತಿಗಳು ಇದೇ ಸಂದಿನಲ್ಲಿ ವಿಫಲವಾಗುತ್ತವೆ. ಐದು ವರ್ಷಗಳ ಹಿಂದೆ ಜನಪ್ರಿಯವಾಗಿದ್ದ ಕ್ಲೈಂಟ್‌ನ ಪೋರ್ಟ್‌ಗಳನ್ನು ನಿರ್ಬಂಧಿಸುವುದು 443 ಮೂಲಕ ಹೋಗುವ ಎಲ್ಲವನ್ನೂ ಮುಟ್ಟದೆ ಬಿಡುತ್ತದೆ, ಮತ್ತು ತನ್ನದೇ ಮಾರ್ಗಗಳನ್ನು ಮತ್ತೆ ಬರೆಯಬಲ್ಲ ಸಾಧನದ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ. ನಿಯಂತ್ರಣವನ್ನು ಅಧಿಕಾರ ಮತ್ತು ಗಮ್ಯಸ್ಥಾನಗಳ ಸುತ್ತ ಕಟ್ಟಿ, ನಂತರ ನೀವು ನಿಜವಾಗಿ ಅನುಮತಿಸುವ ಹರಿವುಗಳನ್ನು ಓದಿ.

ಪೋರ್ಟ್ ಪಟ್ಟಿ ಏಕೆ ನೀತಿಯಲ್ಲ

ಪೋರ್ಟ್‌ಗಳು ಸಾಗಣೆ ಪದರದ ಪರಿಕಲ್ಪನೆ, ಮತ್ತು ಹಲವು ಸುರಂಗ ತಂತ್ರಜ್ಞಾನಗಳು ಅವನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ಬಳಸುವುದಿಲ್ಲ. ಇತರರು ಸಾಮಾನ್ಯ ವೆಬ್ ಸಂಚಾರದೊಂದಿಗೆ ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಒಂದು ಪೋರ್ಟ್ ಹಂಚಿಕೊಳ್ಳುತ್ತವೆ, ಏಕೆಂದರೆ ಆ ಪೋರ್ಟ್ ಖಾತರಿಯಾಗಿ ದಾಟುವಂತಹದು. ಆದ್ದರಿಂದ ಐತಿಹಾಸಿಕ ಪೋರ್ಟ್ ಮೇಲೆ ಆಧಾರಿತ ನಿಯಮವು ವರ್ತನೆಯ ವರ್ಗವನ್ನಲ್ಲ, ಕೆಲವು ಅನುಷ್ಠಾನಗಳನ್ನು ಎಣಿಸುತ್ತದೆ. ಅದು ಬೇಗ ಹಳೆಯದೂ ಆಗುತ್ತದೆ: ಪೂರೈಕೆದಾರ ಡೀಫಾಲ್ಟ್ ಬದಲಿಸಿದ ಕ್ಷಣದಲ್ಲೇ ಪಟ್ಟಿ ಭೂತಕಾಲವನ್ನು ವಿವರಿಸುತ್ತದೆ.

ಅದಕ್ಕಿಂತ ಕೆಟ್ಟದ್ದು, ಒಂದು ಪೋರ್ಟ್‌ನ ಯಶಸ್ವಿ ನಿರ್ಬಂಧವನ್ನು ಇಡೀ ಸಮಸ್ಯೆ ಪರಿಹಾರವಾಯಿತು ಎಂಬ ಸಾಕ್ಷ್ಯವಾಗಿ ಓದಬಹುದು, ಇದು ಮುಂದೆ ಮುಖ್ಯವಾಗುತ್ತಿದ್ದ ನಿಯಂತ್ರಣಗಳನ್ನು ವಿಳಂಬ ಮಾಡುತ್ತದೆ.

ಪ್ರೋಟೋಕಾಲ್ ಸಂಖ್ಯೆ ಮತ್ತು ಪೋರ್ಟ್ ಬೇರೆ ಬೇರೆ ನಾಮಸ್ಥಾನಗಳು

GRE ಗೆ IP ಪ್ರೋಟೋಕಾಲ್ ಸಂಖ್ಯೆ 47 ನಿಗದಿಯಾಗಿದೆ. ಅದು TCP ಪೋರ್ಟ್ 47 ಅಲ್ಲ ಮತ್ತು UDP ಪೋರ್ಟ್ 47 ಅಲ್ಲ, ಮತ್ತು ಪೋರ್ಟ್‌ಗಾಗಿ ಬರೆದ ಫಿಲ್ಟರ್ ಅದನ್ನು ಮುಟ್ಟುವುದಿಲ್ಲ. ESP ಮತ್ತು AH ಅದೇ ಗುಣದೊಂದಿಗೆ ಪ್ರೋಟೋಕಾಲ್ ಸಂಖ್ಯೆ 50 ಮತ್ತು 51 ರಲ್ಲಿವೆ. ಎನ್‌ಕ್ಯಾಪ್ಸುಲೇಟೆಡ್ ಸಂಚಾರವು ಅನುಮತಿಸಿದ ಸಂಪರ್ಕದ ಒಳಗೂ ಅಡಗಬಹುದು, ಆದ್ದರಿಂದ ಒಂದು ವರ್ಗ ಅಥವಾ ಸಹಿ ಸಹಾಯ ಮಾಡಬಹುದು, ಆದರೆ ಒಂಟಿಯಾಗಿ ಉದ್ದೇಶವನ್ನು ಎಂದಿಗೂ ಪ್ರಮಾಣೀಕರಿಸುವುದಿಲ್ಲ. ನಂಬಿಕೆ ಮತ್ತು ವ್ಯಾಪ್ತಿ ನಿರ್ದಿಷ್ಟ ಉತ್ಪನ್ನ ಮತ್ತು ಬಿಡುಗಡೆಗೆ ಸೇರಿದ್ದು, ಪರಿಕಲ್ಪನೆಗಲ್ಲ.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

ಮೊದಲ ಆಜ್ಞೆ ನೀವು ನಿಜವಾಗಿ ಏನು ಬರೆದಿದ್ದೀರಿ ಎಂಬುದನ್ನು ತೋರಿಸುತ್ತದೆ; ಎರಡನೆಯದು ಸ್ಟ್ಯಾಕ್ ತಿಳಿದಿರುವ ಪ್ರೋಟೋಕಾಲ್ ಕೋಷ್ಟಕವನ್ನು ತೋರಿಸುತ್ತದೆ; ಮೂರನೆಯದು ಈ ಕ್ಷಣ ಎಷ್ಟು ಸೆಷನ್‌ಗಳು ವೆಬ್ ಪೋರ್ಟ್ ಬಳಸುತ್ತಿವೆ ಎಂಬುದನ್ನು ತೋರಿಸುತ್ತದೆ. ಅವುಗಳಲ್ಲಿ ಯಾವುದೂ ಆ ಸೆಷನ್‌ಗಳು ಯಾವುದಕ್ಕಾಗಿ ಎಂದು ಹೇಳುವುದಿಲ್ಲ. TLS ಪ್ರತಿಬಂಧವು ಪ್ರತ್ಯೇಕ ನಿರ್ಧಾರವಾಗಿದ್ದು ನಂಬಿಕೆ, ಗೋಪ್ಯತೆ ಮತ್ತು ಕ್ಲೈಂಟ್ ಹೊಂದಾಣಿಕೆಯ ಸ್ವಂತ ವೆಚ್ಚವನ್ನು ಹೊಂದಿದೆ. ಅದು ನಾಮಕರಣ ಮಾಡಿದ ಗಮ್ಯಸ್ಥಾನವನ್ನು ನಿರಾಕರಿಸುವ ಪೂರ್ವಭಾವಿ ಷರತ್ತಲ್ಲ, ಮತ್ತು ಸುರಂಗಗಳನ್ನು ಗುರುತಿಸುವ ಖಾತರಿಯೂ ಅಲ್ಲ.

ಸಾಧನಕ್ಕಿರುವ ಅಧಿಕಾರವನ್ನು ನಿಯಂತ್ರಿಸಿ

ತನ್ನದೇ ರೂಟಿಂಗ್ ಕೋಷ್ಟಕ ಮತ್ತು ಫಿಲ್ಟರಿಂಗ್ ಬದಲಿಸಬಲ್ಲ ಸಾಧನವು ಸಾಮಾನ್ಯ ಅಪ್ಲಿಕೇಶನ್‌ಗಿಲ್ಲದ ಸಾಮರ್ಥ್ಯಗಳನ್ನು ಹೊಂದಿದೆ. ಪ್ರವೇಶ ಮತ್ತು ಸಂರಚನಾ ನಿರ್ವಹಣೆಯೇ ಆ ಸಾಮರ್ಥ್ಯವನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ, ಮತ್ತು ಸುರಂಗ ಯಾವ ಪೋರ್ಟ್ ಬಳಸುತ್ತದೆ ಎಂಬುದನ್ನು ಲೆಕ್ಕಿಸದೆ ಅದು ಕೆಲಸ ಮಾಡುತ್ತದೆ.

ಇದರರ್ಥ ಅನುಮೋದಿತ ಸಂಪರ್ಕಗಳು ಇತರ ಸಾಧನಗಳ ಪರವಾಗಿ ಮುಂದಕ್ಕೆ ಕಳುಹಿಸುವ ಅಪರಿಮಿತ ಅನುಮತಿಯ ಬದಲು ತಮ್ಮ ಘೋಷಿತ ಪಾತ್ರವನ್ನು ಪಡೆಯುತ್ತವೆ, ಮತ್ತು ಇದರರ್ಥ ಸ್ಥಾಪನೆ ಹಾಗೂ ಜಾಲ ನಿರ್ವಹಣಾ ಹಕ್ಕುಗಳು ನೀತಿಯ ಭಾಗ, ನಂತರದ ಯೋಚನೆಯಲ್ಲ.

ಉಳಿದಿರುವ ಹರಿವುಗಳನ್ನು ಗಮನಿಸಿ. ಸಾಧನದ ಗುರುತು, ನಿಗದಿಪಡಿಸಿದ ಪಾತ್ರ ಮತ್ತು ಹರಿವಿನ ಮೆಟಾಡೇಟಾವನ್ನು ಪರಸ್ಪರ ಸಂಬಂಧಿಸಿ, ಮತ್ತು ವರ್ಗೀಕರಣವನ್ನು ಮಿತಿಗಳಿರುವ ಸಾಕ್ಷ್ಯವಾಗಿ ಪರಿಗಣಿಸಿ, ತೀರ್ಪಾಗಿ ಅಲ್ಲ.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

ದೀರ್ಘಕಾಲಿಕ ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ಸೆಷನ್ ಅಥವಾ ದೊಡ್ಡ ಬೈಟ್ ಸಂಖ್ಯೆ ದುರುಪಯೋಗದ ಸಾಕ್ಷ್ಯವಲ್ಲ: ಬ್ಯಾಕಪ್, ಬೆಂಬಲ ಸಾಧನಗಳು ಮತ್ತು ತಾಣಗಳ ನಡುವಿನ ಕೊಂಡಿಗಳು ಒಂದೇ ರೀತಿ ಕಾಣುತ್ತವೆ. ಸಂಗ್ರಹವನ್ನು ತನಿಖೆಗೆ ಸೀಮಿತಗೊಳಿಸಿ ಮತ್ತು ಕಂಡುಕೊಂಡದ್ದನ್ನು ಅದನ್ನು ಹೊಂದಿರುವ ಪ್ರಕ್ರಿಯೆಯ ಅಡಿಯಲ್ಲಿ ಇರಿಸಿ.

ಅಪವಾದಗಳನ್ನು ಸ್ಪಷ್ಟಪಡಿಸಿ

ಪ್ರತಿ ಪರಿಸರದಲ್ಲೂ ನವೀಕರಣ, ದೃಢೀಕರಣ ಮತ್ತು ಮರುಪ್ರಾಪ್ತಿಗಾಗಿ ತಲುಪಬಹುದಾದಂತೆ ಉಳಿಯಬೇಕಾದ ಗಮ್ಯಸ್ಥಾನಗಳಿವೆ. ಅವುಗಳನ್ನು ಉದ್ದೇಶ ಮತ್ತು ಜವಾಬ್ದಾರ ವ್ಯಕ್ತಿಯೊಂದಿಗೆ ಬರೆಯಿರಿ, ಮತ್ತು ಒಂದೊಂದೇ ಅಡಚಣೆಯಲ್ಲಿ ಕಂಡುಕೊಳ್ಳುವ ಬದಲು ಅವನ್ನು ಪರಿಶೀಲಿಸಿ.

ವ್ಯಾಪಾರವು ನಿಜವಾಗಿ ವಿಶಾಲ ಬಾಹ್ಯ ಸೇವೆಗೆ ಅನುಮತಿ ನೀಡಿದಾಗ, ಆ ಸೇವೆ ಒದಗಿಸುವ ಅಧಿಕಾರವನ್ನು ಮೌಲ್ಯಮಾಪನ ಮಾಡಿ, ಗಮ್ಯಸ್ಥಾನದ ಲೇಬಲ್ ಪ್ರತಿಯೊಂದು ಬಳಕೆಯನ್ನೂ ಸ್ವೀಕಾರಾರ್ಹವಾಗಿಸುತ್ತದೆ ಎಂದು ಭಾವಿಸುವ ಬದಲು.

ಪರಿಶೀಲಿಸದ ಅಪವಾದ ಟಿಕೆಟ್ ಸಂಖ್ಯೆಯಿರುವ ರಂಧ್ರ. ಹೆಸರು, ಕಾರಣ ಮತ್ತು ಪರಿಶೀಲನಾ ದಿನಾಂಕವಿರುವ ಅಪವಾದ ಒಂದು ನಿರ್ಧಾರ.

ಘೋಷಣೆಯಲ್ಲ, ಲಿಖಿತ ಯೋಜನೆಯೊಂದಿಗೆ ಸ್ವೀಕರಿಸಿ

ಸ್ವೀಕೃತಿಯ ಎರಡು ಅರ್ಧಗಳಿವೆ: ಅನುಮೋದಿತ ಕೆಲಸ ಇನ್ನೂ ಯಶಸ್ವಿಯಾಗುತ್ತದೆ, ಮತ್ತು ನಿರ್ದಿಷ್ಟ ನಿಷಿದ್ಧ ಪ್ರಕರಣಗಳು ಅಧಿಕೃತ ಪರೀಕ್ಷೆಯಲ್ಲಿ ವಿಫಲವಾಗುತ್ತವೆ. ಎರಡನ್ನೂ ಬದಲಾವಣೆಗೆ ಮೊದಲು ಬರೆಯಬೇಕು ಮತ್ತು ನಂತರ ಪುನರಾವರ್ತಿಸಬೇಕು.

ಆ ಪರಿಶೀಲನೆಯಲ್ಲಿ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಮತ್ತು ನೀತಿ ಬದಲಾವಣೆಗಳನ್ನು ಸೇರಿಸಿ, ಏಕೆಂದರೆ ಲ್ಯಾಪ್‌ಟಾಪ್‌ನಲ್ಲಿ ಸೇರಿಸಿದ ಮಾರ್ಗವು ಅಂಚಿನಲ್ಲಿ ಪರಿಪೂರ್ಣವಾಗಿ ಕೆಲಸ ಮಾಡುತ್ತಿದ್ದ ಫಿಲ್ಟರ್ ಅನ್ನು ರದ್ದುಗೊಳಿಸಬಹುದು.

ಫಲಿತಾಂಶವು ಉಳಿದ ಅಪಾಯದ ತಿಳಿದಿರುವ ಪಟ್ಟಿಯೊಂದಿಗೆ ಮಾಲೀಕತ್ವದ ನಿರ್ಗಮನ ಮಿತಿಯಾಗಿದೆ. ಕೆಲವು ಮುಚ್ಚಿದ ಪೋರ್ಟ್‌ಗಳು ಅನಧಿಕೃತ VPN ಬಳಕೆಯನ್ನು ಕೊನೆಗೊಳಿಸಿದವು ಎಂಬ ಹೇಳಿಕೆ ಅದಲ್ಲ.