Užblokuoti VPN išėjimą reiškia užblokuoti adresą, o ne žmogų

Kažkas įtraukia VPN teikėjo išėjimo adresą į draudžiamųjų sąrašą, ir piktnaudžiavimas sustoja vienai dienai. Tada klientas, kuris atsitiktinai naudoja tą patį teikėją, atidaro bilietą, ir taisyklė pasirodo platesnė, nei kas nors aprašė. Blokavimas visada buvo sprendimas dėl adreso; problema ta, kad jis buvo parduotas kaip sprendimas dėl tapatybės. Atskirkite abu prieš rašydami kitą taisyklę.

Taisyklė, kurią galite įgyvendinti, yra apie šaltinio adresą

Ugniasienės taisyklė atitinka paketo lauką, o laukas, kurį atitinkate, yra šaltinio adresas. Ši taisyklė gali patikimai atmesti srautą iš to adreso, ir tai yra realus bei naudingas poveikis. Ji negali pasakyti, kas išsiuntė paketą, kokia paskyra buvo naudojama ar ar tai tas pats asmuo, kuris sukėlė vakarykštę problemą. Parašyti taisyklę lengva; aprašyti, ką ji įrodo, yra vieta, kur komandos suklysta.

Jei tikslas yra sustabdyti konkretų elgesį, adreso taisyklė yra bukas įrankis, kuris atsitiktinai yra po ranka. Jei tikslas yra nustatyti naudotoją, adresas yra netinkamas įrodymas, o programos autentifikavimas yra tinkamas. Nuspręskite, kokį tikslą turite, prieš taisyklei pateikiant į gamybą.

Ką iš tikrųjų pasako registro užklausa

Registro užklausa grąžina tinklui skirtą bloką ir užregistruotus kontaktus. Ji neišvardija paslaugų, veikiančių kiekviename adrese, ir nepasako, kuris nuomininkas išsiuntė užklausą. Net mažas užregistruotas blokas gali turėti nesusijusių skirtingų klientų darbo krūvių.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Išėjimo pagrindinio kompiuterio vardo išsprendimas duoda tuo momentu grąžintus adresus, tai akimirksnio vaizdas, o ne inventorius. Vieno atsakymo išplėtimas į visą prieglobos priešdėlį yra atskiras sprendimas su platesniu poveikiu, o ne išsamesnė tų pačių įrodymų versija. Jei naudojate prižiūrimą klasifikavimo srautą, jo žymė yra spėjimas su žinomomis klaidomis abiem kryptimis. Tai ne autentifikavimas ir ne žmonių sąrašas.

Sustokite, jei siūloma taisyklė pagrįsta vien užklausa. Akimirksnio vaizdas nėra apimties sprendimas.

Bendri išėjimai ir šalutinė žala

Bendras išėjimas veža daug naudotojų, o bendrinė adresų erdvė reiškia, kad vienas viešasis adresas gali atstovauti visai abonentų grupei. Jį užblokavus nukenčia visi, įskaitant tuos, kurie neturi jokio ryšio su piktnaudžiavimu. Išplėtimas į aplinkinį priešdėlį tą poveikį padaugina ir padidina tikimybę, kad bus užkliudyta nesusijusi paslauga. Šalutinė žala nėra vėliau pažymimas šalutinis poveikis; ji yra taisyklės apibrėžimo dalis.

Paketų įrodymai turi savo ribas. Šaltinio adresas atskirame SYN gali būti suklastotas, todėl paketas nenustato, kas ką pradėjo. Pusiau atviros jungties būsena rodo, kad prasidėjo rankos paspaudimas, o ne kad kita pusė kalta dėl atspindžio atakos. Baigta jungtis sako ką kita nei programos žurnalas, o autentifikuota sesija įvardija paskyrą, kurios nė vienas jų neįvardija.

Pasirinkite siauriausią apimtį, kurią leidžia politika, ir užrašykite, kas gali būti paveiktas per klaidą.

Įrodymai, kuriuos reikia užrašyti, ir grįžimo kelias naudotojams

Kiekviena adreso taisyklė turėtų nešti ją pateisinusį stebėjimą, datą, apimtį ir peržiūros tašką. Būtent šis įrašas leidžia kitam žmogui susiaurinti taisyklę, o ne spėlioti, kodėl ji egzistuoja. Be jo laikinas blokavimas tampa nuolatine infrastruktūra.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Nuspręskite, kaip teisėtas naudotojas atgauna prieigą, prieš diegdami blokavimą, nes pagalbos eilė nėra atkūrimo planas. Apeliacijos kelias, dokumentuota išimtis ar kitas prieigos būdas veikia; patarimas nustoti naudotis VPN neveikia. Susiekite tinklo taisyklę su elgesį atitinkančiomis kontrolėmis: greičio ribos, griežtesni paskyros leidimai ar vykdymas pačioje paslaugoje. VPN išėjimo blokavimas gali sumažinti nepageidaujamą srautą neapsimetant naudotojų katalogu.

Simptomas, kurį reikia turėti prieš akis, yra atotrūkis tarp to, ką taisyklė daro, ir to, ką žmonės tiki, kad ji daro. Blokavimas atmeta adresą. Paskyra nustato naudotoją. Laikykite tuos sakinius biliete atskirai, ir kitą taisyklę bus lengviau ginti.