Firwat d'Blockéiere vu VPN-Porten onautoriséiert Tunnelen net stoppt

Eng Firewall-Reeg refuséiert de Verkéier, op deen si passt. Si refuséiert net all Benotzung vun enger Verbindung, déi si erlaabt, an genau an dëser Lück schloen déi meescht Richtlinne géint onautoriséiert Tunnelen. D'Porten ze blockéieren vun deem Client, dee viru fënnef Joer populär war, léisst alles, wat iwwer 443 leeft, onberéiert, an et seet näischt iwwer en Apparat, dee seng eege Routen ëmschreiwe kann. Baut d'Kontroll ëm Befugnisser an Destinatiounen op, a liest dann d'Flëss, déi Dir tatsächlech erlaabt.

Firwat eng Portlëscht keng Richtlinn ass

Porte sinn e Konzept vun der Transportschicht, a verschidden Tunneltechnologien benotze guer keng. Anerer deelen bewosst eng Port mat gewéinlechem Webverkéier, well déi Port déi ass, déi garantéiert duerchkënnt. Eng Reeg, déi op enger historescher Port opbaut, zielt dofir eng Handvoll Implementéierungen op statt d'Verhalensklass. Si altert och schlecht: esoubal en Ubieder seng Standardwäerter ännert, beschreift d'Lëscht d'Vergaangenheet.

Schlëmmer nach: eng erfollegräich Blockad op enger Port kann als Beweis gelies ginn, datt de ganze Problem geléist ass, wat dann d'Kontrolle verzögert, déi vun Bedeitung gewiescht wären.

Protokollnummeren a Porte sinn ënnerschiddlech Nummräim

GRE kritt d'IP-Protokollnummer 47 zougewisen. Et ass net TCP-Port 47 an net UDP-Port 47, an e Filter, deen fir eng Port geschriwwe gouf, beréiert et net. ESP an AH leien op de Protokollnummeren 50 a 51 mat der selwechter Eegenschaft. Agekapselte Verkéier kann sech och an enger erlauter Verbindung verstoppen, dofir kann eng Kategorie oder Signatur hëllefen, awer ni den Zweck fir sech zertifizéieren. Vertrauen a Couverture gehéieren zu engem spezifesche Produkt an enger spezifescher Versioun, net zum Konzept.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Den éischte Kommando weist, wat Dir tatsächlech geschriwwen hutt; den zweeten weist d'Protokolltabell, déi de Stack kennt; den drëtten weist, wéi vill Sessiounen de Webport just elo benotzen. Keen vun hinnen seet, wofir dës Sessioune sinn. TLS-Ofschneiden ass eng separat Entscheedung mat hiren eegene Käschten u Vertrauen, Privatsphär a Clientkompatibilitéit. Et ass keng Viraussetzung, eng genannt Destinatioun ze refuséieren, an et ass och keng Garantie, datt Tunnelen erkannt ginn.

Kontrolléiert d'Befugnisser, déi den Apparat huet

En Apparat, dee seng eege Routingtabell a Filterung ännere kann, huet Fähegkeeten, déi eng gewéinlech Applikatioun net huet. Zouloossungs- a Konfiguratiounsverwaltung sinn dat, wat déi Fähegkeet ewechhëlt, an si wierken onofhängeg dovun, wéi eng Port den Tunnel benotze géif.

Dat heescht, geneemegt Uschlëss kréien hir erkläert Roll statt onlimitéiert Erlaabnes, fir aner Apparater weiderzeleeden, an et heescht, Installatiouns- an Netzwierkverwaltungsrechter sinn Deel vun der Richtlinn statt en Nodénken.

Observéiert d'Flëss, déi bleiwen. Korreléiert Apparatidentitéit, zougewisen Roll a Flossmetadaten, a behandelt Klassifikatioun als Beweis mat Grenzen statt als Urteel.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Eng laanglieweg verschlësselt Sessioun oder eng grouss Bytezuel ass kee Beweis fir Mëssbrauch: Backuppen, Supportinstrumenter a Standuertverbindungen gesinn d'selwecht aus. Halt d'Sammlung op d'Enquête begrenzt a behalt, wat Dir fannt, ënner deem Prozess, deen et gehéiert.

Maacht d'Ausnamen explizit

All Ëmfeld huet Destinatiounen, déi fir Updates, Authentifikatioun a Restauratioun erreechbar musse bleiwen. Schreift si mat engem Zweck an engem Eegentümer op, a revidéiert si, statt se eng Panne nom aneren ze entdecken.

Wann d'Geschäft wierklech eng breet extern Servis erlaabt, bewäert d'Befugnisser, déi dëse Servis liwwert, statt unzehuelen, datt den Destinatiounslabel all Benotzung akzeptabel mécht.

Eng net revidéiert Ausnam ass en Lach mat enger Ticketnummer. Eng Ausnam mat engem Numm, engem Grond an engem Revidéierungsdatum ass eng Entscheedung.

Akzeptéiere mat engem schrëftleche Plang, net mat engem Slogan

Akzeptanz huet zwou Hallschenten: déi geneemegt Aarbecht geléngt weider, an déi spezifesch verbueden Fäll schloen ënner engem autoriséierte Test. Beides muss virun der Ännerung geschriwwe ginn an duerno widderholl.

Huelt Endpunkt- a Richtlinnsännerungen an dës Revidéierung op, well eng Route, déi op engem Laptop bäigefüügt gëtt, e Filter ëmstoosse kann, deen um Rand perfekt funktionéiert huet.

D'Liwwerung ass eng eege Ausgangsgrenz mat enger bekannter Lëscht vu verbleiwendem Risiko. Ze behaapten, e puer zouenen Porten hätten onautoriséiert VPN-Benotzung beendet, ass dat net.