VPN एक्झिट ब्लॉक करणे म्हणजे पत्ता ब्लॉक करणे, व्यक्ती नाही

कोणीतरी VPN प्रदात्याचा एक्झिट पत्ता नकार यादीत टाकतो, आणि गैरवापर एका दिवसासाठी थांबतो. मग तोच प्रदाता योगायोगाने वापरणारा ग्राहक तिकीट उघडतो, आणि नियम कोणी वर्णन केले त्यापेक्षा व्यापक असल्याचे दिसते. ब्लॉक हा नेहमीच पत्त्याबद्दलचा निर्णय होता; अडचण ही की तो ओळखीबद्दलचा निर्णय म्हणून विकला गेला. पुढील नियम लिहिण्यापूर्वी दोन्ही वेगळे करा.

तुम्ही अंमलात आणू शकता तो नियम स्रोत पत्त्याबद्दल आहे

फायरवॉल नियम पॅकेटमधील एका फील्डशी जुळतो, आणि तुम्ही जुळवत असलेले फील्ड स्रोत पत्ता आहे. तो नियम त्या पत्त्यावरून येणारा रहदारी विश्वासार्हपणे नाकारू शकतो, हा खरा आणि उपयुक्त परिणाम आहे. पण पॅकेट कोणी पाठवले, कोणते खाते वापरले गेले किंवा कालची अडचण निर्माण करणारी व्यक्ती हीच आहे का, हे तो सांगू शकत नाही. नियम लिहिणे सोपे आहे; तो काय सिद्ध करतो हे सांगणे हीच जागा जिथे संघ चुकतात.

ध्येय विशिष्ट वर्तन थांबवणे असेल, तर पत्त्याचा नियम हे योगायोगाने उपलब्ध असलेले बोथट साधन आहे. ध्येय वापरकर्ता ओळखणे असेल, तर पत्ता हा चुकीचा पुरावा आहे आणि अनुप्रयोगाचे प्रमाणीकरण हा योग्य पुरावा आहे. नियम उत्पादनात जाण्यापूर्वी तुमचे ध्येय कोणते ते ठरवा.

नोंदणी शोध प्रत्यक्षात काय सांगते

नोंदणी शोध नेटवर्कसाठी वाटप केलेला ब्लॉक आणि नोंदणीकृत संपर्क परत देतो. तो प्रत्येक पत्त्यावर चालणाऱ्या सेवा सूचीबद्ध करत नाही, आणि कोणत्या भाडेकरूने विनंती पाठवली हे सांगत नाही. लहान नोंदणीकृत ब्लॉकमध्येही वेगवेगळ्या ग्राहकांचे असंबंधित कार्यभार असू शकतात.

dig +short exit.example.net
whois 203.0.113.0 | head -40

एक्झिट होस्टनाव सोडवल्यास त्या क्षणी परत आलेले पत्ते मिळतात, जे एक स्नॅपशॉट आहे, यादी नाही. एक उत्तर संपूर्ण होस्टिंग उपसर्गापर्यंत वाढवणे हा व्यापक परिणाम असलेला स्वतंत्र निर्णय आहे, त्याच पुराव्याची अधिक पूर्ण आवृत्ती नाही. तुम्ही देखभाल केलेला वर्गीकरण फीड वापरत असल्यास, त्याचे लेबल दोन्ही दिशांना ज्ञात त्रुटींसह एक अंदाज आहे. ते प्रमाणीकरण नाही, आणि लोकांची यादी नाही.

प्रस्तावित नियम फक्त एका शोधाने न्याय्य ठरत असेल तर थांबा. स्नॅपशॉट हा व्याप्तीचा निर्णय नाही.

सामायिक एक्झिट आणि दुय्यम हानी

सामायिक एक्झिट अनेक वापरकर्ते वाहते, आणि सामायिक पत्ता जागा म्हणजे एक सार्वजनिक पत्ता ग्राहकांच्या संपूर्ण गटाचे प्रतिनिधित्व करू शकतो. तो ब्लॉक केल्यास सर्वांना परिणाम होतो, गैरवापराशी काहीही संबंध नसलेल्यांनाही. आसपासच्या उपसर्गापर्यंत वाढवल्यास तो परिणाम अनेक पटींनी वाढतो आणि असंबंधित सेवा अडकण्याची शक्यता वाढते. दुय्यम हानी हा नंतर नोंदवायचा दुय्यम परिणाम नाही; तो नियमाच्या व्याख्येचा भाग आहे.

पॅकेट पुराव्याला स्वतःच्या मर्यादा असतात. एकट्या SYN मधील स्रोत पत्ता बनावट असू शकतो, त्यामुळे पॅकेट कोणी काही सुरू केले हे स्थापित करत नाही. अर्धवट उघड्या जोडणीची स्थिती हातमिळवणी सुरू झाली हे दाखवते, समोरचा पक्ष परावर्तन हल्ल्यात दोषी आहे असे नाही. पूर्ण झालेली जोडणी अनुप्रयोग लॉगपेक्षा वेगळे काही सांगते, आणि प्रमाणित सत्र असे खाते नामनिर्देश करते जे दोन्हीपैकी कोणीही करत नाही.

धोरण परवानगी देते ती सर्वात अरुंद व्याप्ती निवडा, आणि चुकीने कोण अडकू शकतो ते लिहा.

नोंदवायचे पुरावे आणि वापरकर्त्यांसाठी परतीचा मार्ग

प्रत्येक पत्ता नियमासोबत त्याला न्याय्य ठरवणारी निरीक्षणे, तारीख, व्याप्ती आणि पुनरावलोकन बिंदू असावा. तीच नोंद पुढील व्यक्तीला नियम का अस्तित्वात आहे याचा अंदाज न घेता तो आकुंचित करू देते. ती नसल्यास तात्पुरता ब्लॉक कायमचा पायाभूत सुविधा बनतो.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

ब्लॉक तैनात करण्यापूर्वी कायदेशीर वापरकर्ता प्रवेश कसा परत मिळवेल ते ठरवा, कारण सहाय्य रांग ही पुनर्प्राप्ती योजना नाही. अपील मार्ग, नोंदवलेला अपवाद किंवा वेगळी प्रवेश पद्धत काम करते; लोकांना त्यांचे VPN वापरणे थांबवा असे सांगणे काम करत नाही. नेटवर्क नियम वर्तनाला साजेसे नियंत्रणांसोबत जोडा: दर मर्यादा, अधिक कडक खाते परवानग्या किंवा सेवेच्या आतच अंमलबजावणी. VPN एक्झिट ब्लॉक स्वतःला वापरकर्ता निर्देशिका भासवून न देता अनिच्छित रहदारी कमी करू शकतो.

ज्याकडे लक्ष ठेवायचे ते लक्षण म्हणजे नियम काय करतो आणि लोक त्याला काय करतो असे मानतात यातील अंतर. ब्लॉक पत्ता नाकारतो. खाते वापरकर्ता ओळखते. ती वाक्ये तिकिटात वेगळी ठेवा, पुढील नियमाचा बचाव करणे सोपे होईल.