VPN എക്സിറ്റ് ബ്ലോക്ക് ചെയ്യുന്നത് ഒരു വിലാസത്തെയാണ്, ഒരു വ്യക്തിയെയല്ല

ഒരാൾ ഒരു VPN ദാതാവിന്റെ എക്സിറ്റ് വിലാസം നിരോധന പട്ടികയിൽ ചേർക്കുന്നു, ദുരുപയോഗം ഒരു ദിവസത്തേക്ക് നിലയ്ക്കുന്നു. പിന്നീട് അതേ ദാതാവിനെ യാദൃച്ഛികമായി ഉപയോഗിക്കുന്ന ഒരു ഉപഭോക്താവ് ടിക്കറ്റ് തുറക്കുന്നു, നിയമം ആരും വിവരിച്ചതിലും വിശാലമാണെന്ന് വ്യക്തമാകുന്നു. ബ്ലോക്ക് എപ്പോഴും ഒരു വിലാസത്തെക്കുറിച്ചുള്ള തീരുമാനമായിരുന്നു; പ്രശ്നം അത് ഐഡന്റിറ്റിയെക്കുറിച്ചുള്ള തീരുമാനമായി വിൽക്കപ്പെട്ടു എന്നതാണ്. അടുത്ത നിയമം എഴുതുന്നതിന് മുമ്പ് രണ്ടും വേർതിരിക്കുക.

നിങ്ങൾക്ക് നടപ്പാക്കാവുന്ന നിയമം ഒരു ഉറവിട വിലാസത്തെക്കുറിച്ചാണ്

ഒരു ഫയർവാൾ നിയമം പാക്കറ്റിലെ ഒരു ഫീൽഡുമായി പൊരുത്തപ്പെടുന്നു, നിങ്ങൾ പൊരുത്തപ്പെടുത്തുന്ന ഫീൽഡ് ഉറവിട വിലാസമാണ്. ആ നിയമത്തിന് ആ വിലാസത്തിൽ നിന്നുള്ള ട്രാഫിക് വിശ്വസനീയമായി നിരസിക്കാനാകും, അത് യഥാർത്ഥവും ഉപയോഗപ്രദവുമായ ഫലമാണ്. എന്നാൽ പാക്കറ്റ് ആരാണ് അയച്ചത്, ഏത് അക്കൗണ്ട് ഉപയോഗിച്ചു, ഇന്നലത്തെ പ്രശ്നം ഉണ്ടാക്കിയ അതേ വ്യക്തിയാണോ എന്നൊന്നും അതിന് പറയാനാകില്ല. നിയമം എഴുതുന്നത് എളുപ്പമാണ്; അത് എന്ത് തെളിയിക്കുന്നു എന്ന് വിവരിക്കുന്നതിലാണ് ടീമുകൾ പിഴയ്ക്കുന്നത്.

ലക്ഷ്യം ഒരു നിർദ്ദിഷ്ട പെരുമാറ്റം നിർത്തുന്നതാണെങ്കിൽ, വിലാസ നിയമം യാദൃച്ഛികമായി ലഭ്യമായ ഒരു മൂർച്ചയില്ലാത്ത ഉപകരണമാണ്. ലക്ഷ്യം ഒരു ഉപയോക്താവിനെ തിരിച്ചറിയുന്നതാണെങ്കിൽ, വിലാസം തെറ്റായ തെളിവാണ്, ആപ്പിന്റെ പ്രാമാണീകരണമാണ് ശരിയായത്. നിയമം പ്രൊഡക്ഷനിലേക്ക് പോകുന്നതിന് മുമ്പ് നിങ്ങളുടെ ലക്ഷ്യം ഏതെന്ന് തീരുമാനിക്കുക.

രജിസ്ട്രേഷൻ അന്വേഷണം യഥാർത്ഥത്തിൽ എന്ത് പറയുന്നു

ഒരു രജിസ്ട്രി അന്വേഷണം ഒരു നെറ്റ്വർക്കിന് അനുവദിച്ച ബ്ലോക്കും രജിസ്റ്റർ ചെയ്ത കോൺടാക്റ്റുകളും തിരികെ നൽകുന്നു. ഓരോ വിലാസത്തിലും പ്രവർത്തിക്കുന്ന സേവനങ്ങൾ അത് ലിസ്റ്റ് ചെയ്യുന്നില്ല, ഏത് വാടകക്കാരനാണ് അഭ്യർത്ഥന അയച്ചതെന്നും പറയുന്നില്ല. ചെറിയ രജിസ്റ്റർ ചെയ്ത ബ്ലോക്കിൽ പോലും വ്യത്യസ്ത ഉപഭോക്താക്കളുടെ ബന്ധമില്ലാത്ത ജോലിഭാരങ്ങൾ ഉണ്ടാകാം.

dig +short exit.example.net
whois 203.0.113.0 | head -40

എക്സിറ്റ് ഹോസ്റ്റ്നാമം പരിഹരിക്കുന്നത് ആ നിമിഷം തിരികെ നൽകിയ വിലാസങ്ങൾ നൽകുന്നു, അത് ഒരു ഇൻവെന്ററിയല്ല, ഒരു സ്നാപ്പ്ഷോട്ടാണ്. ഒരു ഉത്തരം മുഴുവൻ ഹോസ്റ്റിംഗ് പ്രിഫിക്സിലേക്ക് വിപുലീകരിക്കുന്നത് വിശാലമായ സ്വാധീനമുള്ള പ്രത്യേക തീരുമാനമാണ്, അതേ തെളിവിന്റെ കൂടുതൽ പൂർണ്ണമായ പതിപ്പല്ല. പരിപാലിക്കുന്ന ഒരു വർഗ്ഗീകരണ ഫീഡ് ഉപയോഗിക്കുന്നുവെങ്കിൽ, അതിന്റെ ലേബൽ ഇരു ദിശകളിലും അറിയപ്പെടുന്ന പിഴവുകളുള്ള ഒരു ഊഹമാണ്. അത് പ്രാമാണീകരണമല്ല, ആളുകളുടെ പട്ടികയുമല്ല.

നിർദ്ദിഷ്ട നിയമം ഒരു അന്വേഷണം കൊണ്ട് മാത്രം ന്യായീകരിക്കപ്പെടുന്നുവെങ്കിൽ നിർത്തുക. സ്നാപ്പ്ഷോട്ട് ഒരു പരിധി തീരുമാനമല്ല.

പങ്കിട്ട എക്സിറ്റുകളും പാർശ്വ നഷ്ടവും

ഒരു പങ്കിട്ട എക്സിറ്റ് നിരവധി ഉപയോക്താക്കളെ വഹിക്കുന്നു, പങ്കിട്ട വിലാസ ഇടം എന്നാൽ ഒരു പൊതു വിലാസം ഒരു മുഴുവൻ വരിക്കാർ സംഘത്തെ പ്രതിനിധീകരിക്കാം എന്നാണ്. അത് ബ്ലോക്ക് ചെയ്യുന്നത് അവരെയെല്ലാം ബാധിക്കുന്നു, ദുരുപയോഗവുമായി യാതൊരു ബന്ധവുമില്ലാത്തവരെയും ഉൾപ്പെടെ. ചുറ്റുമുള്ള പ്രിഫിക്സിലേക്ക് വിപുലീകരിക്കുന്നത് ആ ഫലം ഇരട്ടിയാക്കുകയും ബന്ധമില്ലാത്ത ഒരു സേവനം കുടുങ്ങാനുള്ള സാധ്യത വർദ്ധിപ്പിക്കുകയും ചെയ്യുന്നു. പാർശ്വ നഷ്ടം പിന്നീട് രേഖപ്പെടുത്തേണ്ട ഒരു പാർശ്വഫലമല്ല; അത് നിയമത്തിന്റെ നിർവചനത്തിന്റെ ഭാഗമാണ്.

പാക്കറ്റ് തെളിവുകൾക്ക് സ്വന്തം പരിധികളുണ്ട്. ഒറ്റപ്പെട്ട ഒരു SYN-ലെ ഉറവിട വിലാസം വ്യാജമാക്കാം, അതിനാൽ പാക്കറ്റ് ആരാണ് എന്തെങ്കിലും ആരംഭിച്ചതെന്ന് സ്ഥാപിക്കുന്നില്ല. പകുതി തുറന്ന കണക്ഷൻ അവസ്ഥ ഒരു ഹാൻഡ്ഷേക്ക് ആരംഭിച്ചു എന്ന് കാണിക്കുന്നു, എതിർകക്ഷി പ്രതിഫലന ആക്രമണത്തിൽ കുറ്റക്കാരനാണെന്നല്ല. പൂർത്തിയായ കണക്ഷൻ ആപ്പ് ലോഗിൽ നിന്ന് വ്യത്യസ്തമായ എന്തോ പറയുന്നു, പ്രാമാണീകരിച്ച സെഷൻ രണ്ടും പേരിടാത്ത ഒരു അക്കൗണ്ടിനെ പേരിടുന്നു.

നയം അനുവദിക്കുന്ന ഏറ്റവും ഇടുങ്ങിയ പരിധി തിരഞ്ഞെടുക്കുക, തെറ്റായി ആരൊക്കെ കുടുങ്ങാമെന്ന് എഴുതുക.

രേഖപ്പെടുത്തേണ്ട തെളിവുകളും ഉപയോക്താക്കൾക്കുള്ള മടക്കവഴിയും

ഓരോ വിലാസ നിയമവും അതിനെ ന്യായീകരിച്ച നിരീക്ഷണം, തീയതി, പരിധി, അവലോകന പോയിന്റ് എന്നിവ വഹിക്കണം. ആ രേഖയാണ് അടുത്ത വ്യക്തിക്ക് നിയമം എന്തിനാണ് നിലനിൽക്കുന്നതെന്ന് ഊഹിക്കുന്നതിന് പകരം അത് ചുരുക്കാൻ അനുവദിക്കുന്നത്. അതില്ലാതെ താൽക്കാലിക ബ്ലോക്ക് സ്ഥിരമായ അടിസ്ഥാന സൗകര്യമായി മാറുന്നു.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

ബ്ലോക്ക് വിന്യസിക്കുന്നതിന് മുമ്പ് നിയമാനുസൃത ഉപയോക്താവ് എങ്ങനെ പ്രവേശനം വീണ്ടെടുക്കുമെന്ന് തീരുമാനിക്കുക, കാരണം പിന്തുണാ ക്യൂ ഒരു വീണ്ടെടുപ്പ് പദ്ധതിയല്ല. അപ്പീൽ വഴി, രേഖപ്പെടുത്തിയ ഒഴിവ് അല്ലെങ്കിൽ വ്യത്യസ്ത പ്രവേശന രീതി എന്നിവ പ്രവർത്തിക്കുന്നു; ആളുകളോട് അവരുടെ VPN ഉപയോഗം നിർത്താൻ പറയുന്നത് പ്രവർത്തിക്കുന്നില്ല. നെറ്റ്വർക്ക് നിയമം പെരുമാറ്റത്തിന് യോജിക്കുന്ന നിയന്ത്രണങ്ങളുമായി ചേർക്കുക: നിരക്ക് പരിധികൾ, കൂടുതൽ കർശനമായ അക്കൗണ്ട് അനുമതികൾ അല്ലെങ്കിൽ സേവനത്തിനുള്ളിൽ തന്നെ നടപ്പാക്കൽ. ഒരു VPN എക്സിറ്റ് ബ്ലോക്ക് തന്നെ ഉപയോക്തൃ ഡയറക്ടറി എന്ന് നടിക്കാതെ ആവശ്യമില്ലാത്ത ട്രാഫിക് കുറയ്ക്കാം.

കണ്ണിൽ സൂക്ഷിക്കേണ്ട ലക്ഷണം നിയമം ചെയ്യുന്നതും ആളുകൾ അത് ചെയ്യുന്നു എന്ന് വിശ്വസിക്കുന്നതും തമ്മിലുള്ള വിടവാണ്. ബ്ലോക്ക് ഒരു വിലാസം നിരസിക്കുന്നു. അക്കൗണ്ട് ഒരു ഉപയോക്താവിനെ തിരിച്ചറിയുന്നു. ആ വാക്യങ്ങൾ ടിക്കറ്റിൽ വേർതിരിച്ച് സൂക്ഷിക്കുക, അടുത്ത നിയമം പ്രതിരോധിക്കാൻ എളുപ്പമാകും.