Kodėl VPN prievadų blokavimas nesustabdo neleistinų tunelių

Ugniasienės taisyklė atmeta srautą, kurį atitinka. Ji neatmeta kiekvieno leidžiamo ryšio naudojimo, ir būtent šioje spragoje žlunga dauguma neleistinų tunelių politikų. Prieš penkerius metus populiarios programos prievadų blokavimas palieka nepaliestą viską, kas eina per 443, ir nieko nesako apie įrenginį, galintį perrašyti savo maršrutus. Kurkite kontrolę pagal įgaliojimus ir tikslus, o tada skaitykite srautus, kuriuos iš tikrųjų leidžiate.

Kodėl prievadų sąrašas nėra politika

Prievadai yra transporto sluoksnio sąvoka, ir kelios tunelių technologijos jų visai nenaudoja. Kitos sąmoningai dalijasi prievadu su įprastu žiniatinklio srautu, nes tas prievadas yra garantuotai praleidžiamas. Taisyklė, pagrįsta istoriniu prievadu, todėl išvardija saujelę implementacijų, o ne elgsenos klasę. Ji irgi blogai sensta: tą akimirką, kai teikėjas pakeičia numatytąsias reikšmes, sąrašas aprašo praeitį.

Dar blogiau, sėkmingas vieno prievado blokavimas gali būti perskaitytas kaip įrodymas, kad visa problema išspręsta, o tai atitolina kontrolę, kuri būtų turėjusi reikšmės.

Protokolų numeriai ir prievadai yra skirtingos vardų erdvės

GRE priskirtas IP protokolo numeris 47. Tai ne TCP prievadas 47 ir ne UDP prievadas 47, o prievadui parašytas filtras jo neliečia. ESP ir AH yra protokolų numeriuose 50 ir 51 su ta pačia savybe. Inkapsuliuotas srautas taip pat gali pasislėpti leistino ryšio viduje, todėl kategorija ar parašas gali padėti, bet niekada pats savaime nepatvirtina tikslo. Pasitikėjimas ir aprėptis priklauso konkrečiam produktui ir leidimui, o ne koncepcijai.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Pirmoji komanda parodo, ką iš tikrųjų įrašėte; antroji parodo protokolų lentelę, kurią žino kaminai; trečioji parodo, kiek sesijų šiuo metu naudoja žiniatinklio prievadą. Nė viena iš jų nepasako, kam šios sesijos skirtos. TLS perėmimas yra atskiras sprendimas su savo pasitikėjimo, privatumo ir klientų suderinamumo sąnaudomis. Tai nėra nurodytos paskirties atmetimo sąlyga, ir tai nėra tunelių atpažinimo garantija.

Valdykite įgaliojimus, kuriuos įrenginys turi

Įrenginys, galintis pakeisti savo maršrutizavimo lentelę ir filtravimą, turi galimybių, kurių įprasta programa neturi. Priėmimo ir konfigūracijos valdymas yra tai, kas pašalina šią galimybę, ir jis veikia nepriklausomai nuo to, kurį prievadą tunelis naudotų.

Tai reiškia, kad patvirtinti prijungimai gauna savo deklaruotą vaidmenį, o ne neribotą leidimą persiųsti už kitus įrenginius, ir tai reiškia, kad diegimo ir tinklo administravimo teisės yra politikos dalis, o ne vėlesnė mintis.

Stebėkite srautus, kurie lieka. Koreliuokite įrenginio tapatybę, priskirtą vaidmenį ir srauto metaduomenis, o klasifikaciją traktuokite kaip įrodymą su apribojimais, o ne kaip nuosprendį.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Ilgai trunkanti šifruota sesija arba didelis baitų skaičius nėra piktnaudžiavimo įrodymas: atsarginės kopijos, palaikymo įrankiai ir vietų jungtys atrodo taip pat. Rinkimą apribokite tyrimu ir saugokite tai, ką randate, pagal procesą, kuriam tai priklauso.

Padarykite išimtis aiškias

Kiekviena aplinka turi paskirties vietas, kurios turi likti pasiekiamos atnaujinimams, autentifikavimui ir atkūrimui. Užrašykite jas su tikslu ir savininku ir peržiūrėkite jas, o ne atraskite po vieną gedimą.

Kai verslas tikrai leidžia plačią išorinę paslaugą, įvertinkite įgaliojimus, kuriuos ta paslauga suteikia, o ne manykite, kad paskirties etiketė daro bet kokį naudojimą priimtinu.

Neperžiūrėta išimtis yra skylė su bilieto numeriu. Išimtis su pavadinimu, priežastimi ir peržiūros data yra sprendimas.

Priimkite su rašytiniu planu, o ne su šūkiu

Priėmimas turi dvi puses: patvirtintas darbas vis dar pavyksta, o konkretūs uždrausti atvejai žlunga įgaliotame teste. Abu reikia parašyti prieš pakeitimą ir pakartoti po jo.

Įtraukite į tą peržiūrą galinių taškų ir politikos pakeitimus, nes maršrutas, pridėtas nešiojamajame kompiuteryje, gali panaikinti filtrą, kuris krašte veikė nepriekaištingai.

Rezultatas yra nuosava išėjimo riba su žinomu likusios rizikos sąrašu. Tvirtinimas, kad keli uždaryti prievadai užbaigė neleistiną VPN naudojimą, tuo nėra.