Зошто блокирањето на VPN порти не ги запира неовластените тунели

Правило на огнениот ѕид го одбива сообраќајот на кој одговара. То не ја одбива секоја употреба на врска што ја дозволува, и токму во оваа празнина пропаѓаат повеќето политики против неовластени тунели. Блокирањето на портите на клиентот што беше популарен пред пет години остава недопрено сѐ што оди преку 443, и не кажува ништо за уред што може да ги препише сопствените рути. Изградете ја контролата околу овластувањата и дестинациите, а потоа читајте ги тековите што навистина ги дозволувате.

Зошто списокот со порти не е политика

Портите се концепт на транспортниот слој и неколку тунелски технологии воопшто не ги користат. Други намерно делат порта со обичниот веб сообраќај зашто таа порта е онаа што гарантирано поминува. Правило изградено врз историска порта затоа набројува неколку имплементации наместо класата на однесување. То исто така лошо старее: во моментот кога давателот ќе ги промени стандардните вредности, списокот го опишува минатото.

Уште полошо, успешното блокирање на една порта може да се прочита како доказ дека целиот проблем е решен, што потоа ги одложува контролите што би биле важни.

Броевите на протоколите и портите се различни именски простори

На GRE му е доделен број на IP протокол 47. Тоа не е TCP порта 47 и не е UDP порта 47, и филтер напишан за порта не го допира. ESP и AH се наоѓаат на броевите на протоколи 50 и 51 со истото својство. Инкапсулираниот сообраќај може исто така да се скрие внатре во дозволена врска, затоа категорија или потпис може да помогне, но никогаш сам по себе не ја потврдува целта. Довербата и покриеноста припаѓаат на конкретен производ и издание, а не на концептот.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Првата команда покажува што навистина сте напишале; втората ја покажува табелата со протоколи што ја познава стекот; третата покажува колку сесии ја користат веб портата во моментов. Ниту една од нив не кажува за што служат тие сесии. Пресретнувањето на TLS е одделна одлука со сопствени трошоци за доверба, приватност и компатибилност со клиентите. Тоа не е предуслов за одбивање на именувана дестинација и не е ниту гаранција за препознавање на тунели.

Контролирајте ги овластувањата што ги има уредот

Уред што може да ја промени сопствената табела за рутирање и филтрирање има можности што обична апликација ги нема. Управувањето со допустот и конфигурацијата е она што ја отстранува таа можност, и дејствува без оглед на тоа која порта би ја користел тунелот.

Тоа значи дека одобрените приклучоци ја добиваат својата декларирана улога наместо неограничено дозвола за препраќање за други уреди, и значи дека правата за инсталација и мрежна администрација се дел од политиката наместо последователна мисла.

Набљудувајте ги тековите што остануваат. Корелирајте го идентитетот на уредот, доделената улога и метаподатоците на текот, и третирајте ја класификацијата како доказ со ограничувања, а не како пресуда.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Долготрајна шифрирана сесија или голем број бајти не е доказ за злоупотреба: резервните копии, алатките за поддршка и врските меѓу локациите изгледаат исто. Ограничете го собирањето на истрагата и зачувајте го она што ќе го најдете под процесот што го поседува.

Направете ги исклучоците експлицитни

Секоја околина има дестинации што мора да останат достапни за ажурирања, автентикација и обновување. Запишете ги со цел и одговорно лице и прегледувајте ги, наместо да ги откривате еден прекин по друг.

Кога бизнисот навистина дозволува широка надворешна услуга, проценете ги овластувањата што таа услуга ги обезбедува, наместо да претпоставите дека ознаката на дестинацијата го прави секое користење прифатливо.

Непроверен исклучок е дупка со број на барање. Исклучок со име, причина и датум на преглед е одлука.

Прифатете со писмен план, а не со слоган

Прифаќањето има две половини: одобрената работа сѐ уште успева, а конкретните забранети случаи пропаѓаат при овластен тест. И двете треба да бидат напишани пред промената и повторени по неа.

Вклучете ги промените на крајните точки и политиката во тој преглед, зашто рута додадена на преносен компјутер може да поништи филтер што совршено работел на работ.

Резултатот е сопствена излезна граница со познат список на преостанат ризик. Тврдењето дека неколку затворени порти го завршиле неовластеното користење на VPN не е тоа.