VPN портууды блоклох нь зөвшөөрөлгүй туннелийг яагаад зогсоохгүй вэ

Галт хананы дүрэм тохирох трафикийг татгалздаг. Энэ нь зөвшөөрсөн холболтын бүх хэрэглээг татгалздаггүй бөгөөд зөвшөөрөлгүй туннелийн эсрэг ихэнх бодлого яг энэ цоорхойд бүтэлгүйтдэг. Таван жилийн өмнө алдартай байсан клиентийн портуудыг блоклох нь 443-аар явдаг бүхнийг хөндөхгүй орхиж, өөрийн маршрутыг дахин бичиж чадах төхөөрөмжийн талаар юу ч хэлэхгүй. Хяналтыг эрх мэдэл, чиглэлийн эргэн тойронд бүтээж, дараа нь үнэхээр зөвшөөрч буй урсгалыг уншаарай.

Портын жагсаалт яагаад бодлого биш вэ

Портууд нь тээврийн түвшний ойлголт бөгөөд хэд хэдэн туннелийн технологи огт ашигладаггүй. Бусад нь ердийн вэб трафиктай портыг санаатайгаар хуваалцдаг, учир нь тэр порт нь баталгаатай нэвтэрдэг порт юм. Түүхэн порт дээр тулгуурласан дүрэм нь зан үйлийн ангиллын оронд цөөн хэдэн хэрэгжүүлэлтийг жагсаадаг. Энэ нь бас муу хуучирдаг: үйлчилгээ үзүүлэгч өгөгдмөл утгыг өөрчилсөн тэр мөчид жагсаалт өнгөрснийг дүрсэлдэг.

Бүр дор нь, нэг портыг амжилттай блоклохыг бүх асуудал шийдэгдсэн гэсэн нотолгоо гэж уншиж болох бөгөөд энэ нь чухал байх хяналтыг хойшлуулдаг.

Протоколын дугаар ба порт нь өөр нэрийн орон зай

GRE-д IP протоколын 47 дугаарыг олгосон. Энэ нь TCP 47 порт биш, UDP 47 порт ч биш бөгөөд портод зориулж бичсэн шүүлтүүр түүнд хүрэхгүй. ESP ба AH нь ижил шинж чанартайгаар 50 ба 51 протоколын дугаар дээр байрладаг. Инкапсуллагдсан трафик нь зөвшөөрөгдсөн холболтын дотор ч нуугдаж болох тул ангилал эсвэл гарын үсэг тусалж болох ч зорилгыг дангаараа хэзээ ч баталгаажуулдаггүй. Итгэл ба хамрах хүрээ нь тодорхой бүтээгдэхүүн, хувилбарт хамаарна, ойлголтод биш.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Эхний команд нь таны үнэхээр бичсэнийг харуулна; хоёр дахь нь стек мэддэг протоколын хүснэгтийг харуулна; гурав дахь нь вэб портыг яг одоо хэдэн сесс ашиглаж байгааг харуулна. Тэдгээрийн аль нь ч эдгээр сесс юунд зориулагдсаныг хэлэхгүй. TLS-ийг таслах нь итгэл, нууцлал, клиенттэй нийцэх зардал бүхий тусдаа шийдвэр юм. Энэ нь нэрлэсэн чиглэлийг татгалзах урьдчилсан нөхцөл биш бөгөөд туннелийг таних баталгаа ч биш.

Төхөөрөмжийн эрх мэдлийг хянаарай

Өөрийн чиглүүлэлтийн хүснэгт, шүүлтүүрийг өөрчилж чадах төхөөрөмж нь энгийн аппликейшнд байхгүй чадваруудтай. Элсэлт ба тохиргооны менежмент нь тэр чадварыг арилгадаг бөгөөд туннель аль портыг ашиглахаас үл хамааран үйлчилдэг.

Энэ нь зөвшөөрөгдсөн холболтууд бусад төхөөрөмжийн өмнөөс дамжуулах хязгааргүй зөвшөөрлийн оронд өөрийн зарласан үүргээ авдаг гэсэн үг бөгөөд суулгах, сүлжээний удирдлагын эрх нь бодлогын хэсэг бөгөөд дараагийн бодол биш гэсэн үг.

Үлдсэн урсгалыг ажиглаарай. Төхөөрөмжийн таних мэдээлэл, олгосон үүрэг, урсгалын мета өгөгдлийг хамааруулж, ангиллыг шийдвэр биш, хязгаартай нотолгоо гэж үзээрэй.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Удаан үргэлжилсэн шифрлэгдсэн сесс эсвэл том байтын тоо нь урвуулалтын нотолгоо биш: нөөц хуулбар, дэмжлэгийн хэрэгсэл, байршлын хоорондын холбоо ижил харагддаг. Цуглуулгыг мөрдөн шалгалтын хүрээнд хязгаарлаж, олсноо түүнд эзэмшилтэй процессийн хүрээнд хадгалаарай.

Үл хамаарах зүйлсийг тодорхой болго

Орчин бүрт шинэчлэлт, баталгаажуулалт, сэргээлтэд хүртээмжтэй байх ёстой чиглэлүүд байдаг. Тэдгээрийг зорилго, хариуцагчтай нь бичиж, нэг эвдрэлээр нээхийн оронд хянаж үзээрэй.

Бизнес үнэхээр өргөн гадаад үйлчилгээг зөвшөөрвөл тухайн үйлчилгээний олгож буй эрх мэдлийг үнэл, харин чиглэлийн шошго аливаа хэрэглээг хүлээн зөвшөөрөхүйц болгодог гэж бүү бод.

Хянагдаагүй үл хамаарах зүйл бол тасалбарын дугаартай нүх юм. Нэр, шалтгаан, хянан үзэх огноотой үл хамаарах зүйл бол шийдвэр юм.

Уриа лоозонгоор биш, бичмэл төлөвлөгөөгөөр хүлээж аваарай

Хүлээн авалт нь хоёр хагастай: зөвшөөрөгдсөн ажил үргэлжлүүлэн амжилттай болж, тодорхой хориглосон тохиолдлууд эрх бүхий тестэд бүтэлгүйтдэг. Хоёуланг нь өөрчлөлтөөс өмнө бичиж, дараа нь давтах ёстой.

Тухайн хяналтад төгсгөлийн цэг, бодлогын өөрчлөлтийг оруулаарай, учир нь зөөврийн компьютер дээр нэмсэн маршрут ирмэг дээр төгс ажиллаж байсан шүүлтүүрийг хүчингүй болгож болно.

Үр дүн нь үлдэгдэл эрсдэлийн мэдэгдэж буй жагсаалт бүхий өөрийн гарцын хил юм. Хэдэн хаагдсан порт зөвшөөрөлгүй VPN хэрэглээг зогсоосон гэж мэдэгдэх нь тэр биш юм.