VPN izejas bloķēšana bloķē adresi, nevis cilvēku

Kāds pievieno VPN pakalpojumu sniedzēja izejas adresi liegto sarakstam, un ļaunprātība apstājas uz vienu dienu. Tad klients, kurš nejauši izmanto to pašu sniedzēju, atver biļeti, un noteikums izrādās plašāks, nekā jebkurš bija aprakstījis. Bloķēšana vienmēr ir bijusi lēmums par adresi; problēma ir tā, ka to pārdeva kā lēmumu par identitāti. Atdaliet abus, pirms rakstāt nākamo noteikumu.

Noteikums, ko varat izpildīt, attiecas uz avota adresi

Ugunsmūra noteikums atbilst laukam paketē, un lauks, ar ko jūs saskaņojat, ir avota adrese. Šis noteikums var uzticami atteikt datplūsmu no šīs adreses, un tā ir reāla un noderīga ietekme. Tas nevar pateikt, kas nosūtīja paketi, kāds konts tika izmantots vai vai tas ir tas pats cilvēks, kurš izraisīja vakardienas problēmu. Uzrakstīt noteikumu ir viegli; aprakstīt, ko tas pierāda, ir vieta, kur komandas kļūdās.

Ja mērķis ir apturēt konkrētu uzvedību, adreses noteikums ir neass instruments, kas vienkārši ir pieejams. Ja mērķis ir identificēt lietotāju, adrese ir nepareizais pierādījums, un pareizais ir lietotnes autentifikācija. Izlemiet, kāds mērķis jums ir, pirms noteikums nonāk ražošanā.

Ko reģistra vaicājums patiešām pasaka

Reģistra vaicājums atgriež tīklam piešķirto bloku un reģistrētos kontaktus. Tas neuzskaita pakalpojumus, kas darbojas katrā adresē, un nepaskaidro, kurš nomnieks nosūtīja pieprasījumu. Pat neliels reģistrēts bloks var saturēt nesaistītas dažādu klientu darba slodzes.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Izejas resursdatora nosaukuma atrisināšana dod jums tajā brīdī atgrieztās adreses, un tas ir momentuzņēmums, nevis uzskaite. Vienas atbildes paplašināšana uz visu mitināšanas prefiksu ir atsevišķs lēmums ar plašāku ietekmi, nevis pilnīgāka tā paša pierādījuma versija. Ja izmantojat uzturētu klasifikācijas plūsmu, tās etiķete ir minējums ar zināmām kļūdām abos virzienos. Tā nav autentifikācija un nav cilvēku saraksts.

Apstājieties, ja ierosināto noteikumu pamato tikai vaicājums. Momentuzņēmums nav tvēruma lēmums.

Koplietotās izejas un blakus zaudējumi

Koplietota izeja pārvadā daudz lietotāju, un koplietotā adrešu telpa nozīmē, ka viena publiska adrese var pārstāvēt veselu abonentu grupu. Tās bloķēšana skar visus, tostarp tos, kuriem nav nekāda sakara ar ļaunprātību. Paplašināšana uz apkārtējo prefiksu šo ietekmi vairo un palielina iespēju, ka tiks skarta nesaistīta pakalpojums. Blakus zaudējumi nav vēlāk pierakstāms blakusefekts; tie ir noteikuma definīcijas daļa.

Pakešu pierādījumiem ir savas robežas. Avota adresi atsevišķā SYN var viltojot, tāpēc pakete nenosaidro, kas ko sāka. Daļēji atvērta savienojuma stāvoklis parāda, ka sākās rokasspiediens, nevis ka pretējā puse ir vainīga atstarošanas uzbrukumā. Pabeigts savienojums saka ko citu nekā lietotnes žurnāls, un autentificēta sesija nosauc kontu, ko nenosauc neviens no tiem.

Izvēlieties šaurāko tvērumu, ko politika atļauj, un pierakstiet, kurus paredzēts skart kļūdas dēļ.

Pierādījumi, kas jāpieraksta, un atgriešanās ceļš lietotājiem

Katram adreses noteikumam jānes novērojums, kas to pamatoja, datums, tvērums un pārskatīšanas punkts. Tieši šis ieraksts ļauj nākamajam cilvēkam sašaurināt noteikumu, nevis minēt, kāpēc tas pastāv. Bez tā pagaidu bloķēšana kļūst par pastāvīgu infrastruktūru.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Izlemiet, kā likumīgs lietotājs atgūst piekļuvi, pirms izvietojat bloķēšanu, jo atbalsta rinda nav atjaunošanas plāns. Apelācijas ceļš, dokumentēts izņēmums vai cita piekļuves metode darbojas; ieteikums pārtraukt lietot VPN nedarbojas. Saistiet tīkla noteikumu ar uzvedībai atbilstošām kontrolēm: ātruma ierobežojumi, stingrākas konta atļaujas vai izpilde pašā pakalpojumā. VPN izejas bloķēšana var samazināt nevēlamu datplūsmu, neizliekoties par lietotāju katalogu.

Simptoms, kas jāpatur acīs, ir plaisa starp to, ko noteikums dara, un to, ko cilvēki tic, ka tas dara. Bloķēšana atsaka adresi. Konts identificē lietotāju. Turiet šos teikumus biļetē atsevišķi, un nākamo noteikumu būs vieglāk aizstāvēt.