Kāpēc VPN portu bloķēšana neaptur neatļautus tuneļus

Ugunsmūra noteikums liedz to datplūsmu, uz kuru tas attiecas. Tas neliedz katru savienojuma izmantošanu, ko atļauj, un tieši šajā robā cieš vairums politiku pret neatļautiem tuneļiem. Tā klienta portu bloķēšana, kas bija populārs pirms pieciem gadiem, atstāj neskartu visu, kas iet caur 443, un neko nepasaka par ierīci, kas spēj pārrakstīt savus maršrutus. Veidojiet kontroli ap pilnvarām un galamērķiem, un pēc tam lasiet plūsmas, ko patiešām atļaujat.

Kāpēc portu saraksts nav politika

Porti ir transporta slāņa jēdziens, un vairākas tuneļu tehnoloģijas tos vispār neizmanto. Citas apzināti dala portu ar parasto tīmekļa datplūsmu, jo tas ports ir tas, kas garantēti iziet cauri. Noteikums, kas balstīts uz vēsturisku portu, tāpēc uzskaita saujiņu implementāciju, nevis uzvedības klasi. Tas arī slikti noveco: brīdī, kad pakalpojumu sniedzējs maina noklusējuma vērtības, saraksts apraksta pagātni.

Vēl ļaunāk, veiksmīgu viena porta bloķēšanu var nolasīt kā pierādījumu, ka visa problēma ir atrisināta, kas pēc tam aizkavē kontroli, kurai būtu bijusi nozīme.

Protokolu numuri un porti ir dažādas nosaukumvietas

GRE ir piešķirts IP protokola numurs 47. Tas nav TCP ports 47 un nav UDP ports 47, un portam rakstīts filtrs to neaizskar. ESP un AH atrodas uz protokolu numuriem 50 un 51 ar tādu pašu īpašību. Iekapsulēta datplūsma var arī paslēpties atļauta savienojuma iekšienē, tāpēc kategorija vai paraksts var palīdzēt, bet nekad pats par sevi neapliecina mērķi. Uzticēšanās un pārklājums pieder konkrētam produktam un laidienam, nevis koncepcijai.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Pirmā komanda parāda, ko jūs patiešām ierakstījāt; otrā parāda protokolu tabulu, ko zina steks; trešā parāda, cik sesiju tieši tagad izmanto tīmekļa portu. Neviena no tām nepasaka, kam šīs sesijas ir domātas. TLS pārtveršana ir atsevišķs lēmums ar savām uzticēšanās, privātuma un klientu saderības izmaksām. Tas nav priekšnoteikums nosauktā galamērķa liegšanai, un tas nav arī tuneļu atpazīšanas garantija.

Kontrolējiet pilnvaras, kas ierīcei ir

Ierīcei, kas var mainīt savu maršrutēšanas tabulu un filtrēšanu, ir iespējas, kādas parastai lietotnei nav. Uzņemšanas un konfigurācijas pārvaldība ir tas, kas šo iespēju novērš, un tā darbojas neatkarīgi no tā, kuru portu tunelis izmantotu.

Tas nozīmē, ka apstiprinātie pieslēgumi saņem savu deklarēto lomu, nevis neierobežotu atļauju pārsūtīt citu ierīču vietā, un tas nozīmē, ka instalēšanas un tīkla administrēšanas tiesības ir politikas daļa, nevis vēlāka doma.

Novērojiet plūsmas, kas paliek. Korelējiet ierīces identitāti, piešķirto lomu un plūsmas metadatus, un klasifikāciju uztveriet kā pierādījumu ar ierobežojumiem, nevis kā spriedumu.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Ilgstoša šifrēta sesija vai liels baitu skaits nav ļaunprātīgas izmantošanas pierādījums: dublējumi, atbalsta rīki un vietņu savienojumi izskatās vienādi. Turiet vākšanu ierobežotu ar izmeklēšanu un saglabājiet atrasto tā procesa ietvaros, kuram tas pieder.

Padariet izņēmumus skaidrus

Katrai videi ir galamērķi, kuriem jāpaliek sasniedzamiem atjauninājumiem, autentifikācijai un atkopšanai. Pierakstiet tos ar mērķi un atbildīgo, un pārskatiet tos, nevis atklājiet tos vienu pārtraukumu pēc otra.

Kad uzņēmums patiešām atļauj plašu ārēju pakalpojumu, novērtējiet pilnvaras, ko šis pakalpojums sniedz, nevis pieņemiet, ka galamērķa etiķete padara jebkuru izmantošanu pieņemamu.

Nepārskatīts izņēmums ir caurums ar biļetes numuru. Izņēmums ar nosaukumu, iemeslu un pārskatīšanas datumu ir lēmums.

Pieņemiet ar rakstisku plānu, nevis saukli

Pieņemšanai ir divas puses: apstiprinātais darbs joprojām izdodas, un konkrētie aizliegtie gadījumi cieš autorizētā testā. Abi ir jāuzraksta pirms izmaiņām un jāatkārto pēc tām.

Iekļaujiet šajā pārskatā galapunktu un politikas izmaiņas, jo maršruts, kas pievienots klēpjdatorā, var atcelt filtru, kas malā darbojās nevainojami.

Rezultāts ir sava izejas robeža ar zināmu atlikušā riska sarakstu. Apgalvot, ka daži slēgti porti izbeidza neatļautu VPN lietošanu, nav tas.