VPN портторун бөгөттөө эмне үчүн уруксатсыз туннелдерди токтотпойт

Өрт дубал эрежеси өзүнө туура келген трафикти четке кагат. Ал уруксат берген байланыштын ар бир колдонулушун четке какпайт, жана уруксатсыз туннелдерге каршы көптөгөн саясаттар дал ушул боштукта ийгиликсиз болот. Беш жыл мурун популярдуу болгон кардардын портторун бөгөттөө 443 аркылуу өткөн нерсенин баарын тийбестен калтырат жана өз маршруттарын кайра жаза алган түзмөк жөнүндө эч нерсе айтпайт. Көзөмөлдү ыйгарым укук менен багыттардын айланасында куруңуз, анан чындап уруксат берген агымдарды окуңуз.

Эмне үчүн порт тизмеси саясат эмес

Порттор — транспорттук катмардын түшүнүгү, жана бир нече туннелдик технология аларды такыр колдонбойт. Башкалары адаттагы веб-трафик менен портту атайын бөлүшөт, анткени дал ошол порт кепилденген түрдө өткөрүлөт. Тарыхый портко байланган эреже ошондуктан жүрүм-турум классын эмес, бир аз ишке ашырууларды санайт. Ал да начар эскирет: провайдер демейки маанилерди өзгөрткөн учурда тизме өткөндү сүрөттөйт.

Андан да жаманы, бир портту ийгиликтүү бөгөттөөнү бүт маселе чечилди деген далил катары окууга болот, бул маанилүү болмок көзөмөлдөрдү кечеңдетет.

Протокол номурлары менен порттор — ар башка ат мейкиндиктери

GREге IP протоколунун 47 номуру берилген. Бул TCP 47 порту да, UDP 47 порту да эмес, жана порт үчүн жазылган чыпка ага тийбейт. ESP жана AH ошол эле касиет менен 50 жана 51 протокол номурларында турат. Инкапсуляцияланган трафик уруксат берилген байланыштын ичинде да жашынып калышы мүмкүн, ошондуктан категория же кол тамга жардам бере алат, бирок өз алдынча максатты эч качан күбөлөндүрбөйт. Ишеним жана камтуу конкреттүү продукт менен чыгарылышка таандык, концепцияга эмес.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Биринчи команда чындап эмне жазганыңызды көрсөтөт; экинчиси стек билген протокол таблицасын көрсөтөт; үчүнчүсү веб-портту дал азыр канча сессия колдонуп жатканын көрсөтөт. Алардын эч бири бул сессиялар эмне үчүн экенин айтпайт. TLSди кармоо — ишеним, купуялуулук жана кардарлар менен шайкештик чыгымдары бар өзүнчө чечим. Бул аталган багытты четке кагуу үчүн шарт эмес жана туннелдерди таанууга кепилдик да эмес.

Түзмөктүн ыйгарым укугун көзөмөлдөңүз

Өзүнүн маршруттоо таблицасын жана чыпкалоосун өзгөртө алган түзмөктүн жөнөкөй колдонмодо жок мүмкүнчүлүктөрү бар. Кабыл алуу жана конфигурацияны башкаруу — дал ушул мүмкүнчүлүктү жок кылган нерсе, жана ал туннел кайсы портту колдоноруна карабастан иштейт.

Бул бекитилген туташуулар башка түзмөктөр үчүн өткөрүп берүүгө чексиз уруксаттын ордуна өздөрүнүн жарыяланган ролун аларын билдирет, жана орнотуу менен тармак администрациясынын укуктары саясаттын бөлүгү экенин, кийинки ой эмес экенин билдирет.

Калган агымдарды байкаңыз. Түзмөк инсандыгын, берилген ролду жана агым метаберилишин корреляциялаңыз, ал эми классификацияны өкүм эмес, чектөөлөрү бар далил катары караңыз.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Узак мөөнөттүү шифрленген сессия же чоң байт саны кыянаттыктын далили эмес: камдык көчүрмөлөр, колдоо куралдары жана аянтчалар ортосундагы байланыштар бирдей көрүнөт. Жыйноону тергөөнүн алкагы менен чектеңиз жана тапканыңызды ага ээлик кылган процесстин алкагында сактаңыз.

Өзгөчөлүктөрдү ачык кылыңыз

Ар бир чөйрөдө жаңыртуулар, аутентификация жана калыбына келтирүү үчүн жеткиликтүү бойдон калышы керек багыттар бар. Аларды максат жана жооптуу адам менен жазып алыңыз жана биринин артынан бирин ачкандын ордуна аларды карап чыгыңыз.

Бизнес чындап кең тышкы кызматты уруксат кылганда, ошол кызмат берген ыйгарым укукту баалаңыз, ал эми багыт белгиси ар кандай колдонууну кабыл алууга жарактуу кылат деп ойлобоңуз.

Каралбаган өзгөчөлүк — билет номуру бар тешик. Аты, себеби жана карап чыгуу күнү бар өзгөчөлүк — чечим.

Ураан менен эмес, жазуу түрүндөгү план менен кабыл алыңыз

Кабыл алуунун эки жарымы бар: бекитилген иш дагы эле ийгиликтүү аткарылат, ал эми конкреттүү тыюу салынган учурлар ыйгарым укук берилген тестте ийгиликсиз болот. Экөөнү тең өзгөртүүгө чейин жазып, андан кийин кайталоо керек.

Бул карап чыгууга акыркы чекиттер менен саясаттын өзгөрүүлөрүн кошуңуз, анткени ноутбукта кошулган маршрут четинде мыкты иштеген чыпканы жокко чыгарышы мүмкүн.

Жыйынтык — калган тобокелдиктин белгилүү тизмеси бар өзүнүн чыгуу чеги. Бир нече жабык порт уруксатсыз VPN колдонуусун токтотту деп ырастоо — бул ал эмес.