Блокирање на VPN излез блокира адреса, а не личност

Некој ја додава излезната адреса на VPN провајдерот на список за забрана, и злоупотребата запира за еден ден. Потоа клиент што случајно го користи истиот провајдер отвора тикет, и правилото излегува пошироко отколку што некој опишал. Блокирањето отсекогаш било одлука за адреса; проблемот е што било продадено како одлука за идентитет. Одвојте ги двете пред да го напишете следното правило.

Правилото што можете да го спроведете се однесува на изворна адреса

Правилото на огнениот ѕид се совпаѓа со поле во пакетот, а полето со кое се совпаѓате е изворната адреса. Тоа правило може сигурно да го одбие сообраќајот од таа адреса, што е вистински и корисен ефект. Но не може да ви каже кој го испратил пакетот, кој профил бил користен или дали е истото лице што го предизвикало вчерашниот проблем. Пишувањето на правилото е лесно; опишувањето што докажува е местото каде тимовите грешат.

Ако целта е да се запре одредено однесување, правилото за адреса е тап алат што случајно е достапен. Ако целта е да се идентификува корисник, адресата е погрешен доказ, а автентикацијата на апликацијата е правилниот. Одлучете која цел ја имате пред правилото да влезе во продукција.

Што всушност ви кажува пребарувањето во регистарот

Пребарувањето во регистарот враќа доделен блок и контакти регистрирани за мрежа. Не ги наведува услугите што работат на секоја адреса и не ви кажува кој закупец го испратил барањето. Дури и мал регистриран блок може да содржи неповрзани работни оптоварувања од различни клиенти.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Решавањето на име на излезен домаќин ви ги дава адресите вратени во тој момент, што е снимка, а не попис. Проширувањето на еден одговор на целиот префикс за хостирање е одделна одлука со поширок опсег на влијание, а не поцелосна верзија на истиот доказ. Ако користите одржуван тек за класификација, неговата ознака е претпоставка со познати грешки во двете насоки. Тоа не е автентикација и не е список на луѓе.

Запрете ако предложеното правило се оправдува само со пребарување. Снимката не е одлука за опсег.

Споделени излези и колатерална штета

Споделениот излез носи многу корисници, а споделен адресен простор значи дека една јавна адреса може да претставува цела група претплатници. Неговото блокирање ги погодува сите, вклучително и оние без врска со злоупотребата. Проширувањето на околниот префикс го умножува тој ефект и ја зголемува веројатноста да биде зафатена неповрзана услуга. Колатералната штета не е спореден ефект што се забележува подоцна; таа е дел од дефиницијата на правилото.

Доказите од пакети имаат свои граници. Изворната адреса во изолиран SYN може да биде фалсификувана, па пакетот не утврдува кој што започнал. Состојбата на полуотворена врска покажува дека започнало ракување, а не дека спротивната страна е виновна за рефлексиски напад. Завршената врска кажува нешто различно од дневникот на апликацијата, а автентифицираната сесија именува профил што ниту едно од двете не го именува.

Изберете најтесниот опсег што го дозволува политиката и запишете кого се очекува да биде погоден по грешка.

Докази што треба да се запишат и пат за враќање за корисниците

Секое правило за адреса треба да го носи набљудувањето што го оправдало, датумот, опсегот и точка за преглед. Токму тој запис му овозможува на следниот човек да го стесни правилото наместо да погодува зошто постои. Без него привременото блокирање станува трајна инфраструктура.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Одлучете како легитимен корисник го враќа пристапот пред да го распоредите блокирањето, бидејќи редот за поддршка не е план за обновување. Пат за жалба, документиран исклучок или друг начин на пристап функционираат; советот да се престане со користење на VPN не функционира. Поврзете го мрежното правило со контроли што одговараат на однесувањето: ограничувања на брзина, построги дозволи за профил или спроведување во самата услуга. Блокирањето на VPN излез може да го намали несаканиот сообраќај без да се преправа дека е именик на корисници.

Симптомот што треба да се има на ум е јазот помеѓу она што го прави правилото и она што луѓето веруваат дека го прави. Блокирањето одбива адреса. Профилот идентификува корисник. Држете ги тие реченици одвоени во тикетот и следното правило ќе биде полесно да се одбрани.