VPN पोर्ट ब्लॉक केल्याने अनधिकृत बोगदे का थांबत नाहीत

फायरवॉल नियम ज्या रहदारीशी जुळतो ती नाकारतो। ते मंजूर केलेल्या कनेक्शनचा प्रत्येक वापर नाकारत नाही, आणि अनधिकृत बोगद्यांविरुद्धची बहुतेक धोरणे याच पोकळीत अपयशी ठरतात। पाच वर्षांपूर्वी लोकप्रिय असलेल्या क्लायंटचे पोर्ट ब्लॉक केल्याने 443 मधून जाणारे सर्व अतुट राहते, आणि स्वतःचे मार्ग पुन्हा लिहू शकणाऱ्या उपकरणाबद्दल काहीही सांगत नाही। नियंत्रण अधिकार आणि गंतव्यांच्या भोवती उभारा, मग तुम्ही खरोखर मंजूर करता ते प्रवाह वाचा।

पोर्ट यादी धोरण का नाही

पोर्ट ही वाहतूक स्तराची संकल्पना आहे, आणि काही बोगदा तंत्रज्ञाने ते अजिबात वापरत नाहीत। इतर जाणीवपूर्वक सामान्य वेब रहदारीसोबत एक पोर्ट सामायिक करतात, कारण तोच पोर्ट जाणे हमखास असते। म्हणून ऐतिहासिक पोर्टवर आधारित नियम वर्तनाचा वर्ग नव्हे, तर मोजकी अंमलबजावणी मोजतो। तो लवकर जुनाही होतो: पुरवठादाराने डीफॉल्ट बदलल्याक्षणी यादी भूतकाळाचे वर्णन करू लागते।

त्याहून वाईट, एका पोर्टचे यशस्वी ब्लॉकिंग संपूर्ण समस्या सुटली असल्याचा पुरावा म्हणून वाचले जाऊ शकते, ज्यामुळे महत्त्वाची असलेली नियंत्रणे उशिरा येतात।

प्रोटोकॉल क्रमांक आणि पोर्ट वेगवेगळी नामस्थाने आहेत

GRE ला IP प्रोटोकॉल क्रमांक 47 दिलेला आहे। ते TCP पोर्ट 47 नाही आणि UDP पोर्ट 47 नाही, आणि पोर्टसाठी लिहिलेला फिल्टर त्याला स्पर्श करत नाही। ESP आणि AH त्याच गुणधर्माने प्रोटोकॉल क्रमांक 50 आणि 51 वर आहेत। एन्कॅप्स्युलेटेड रहदारी मंजूर कनेक्शनच्या आतही लपू शकते, म्हणून एखादी श्रेणी किंवा स्वाक्षरी मदत करू शकते, पण एकटी कधीही हेतू प्रमाणित करत नाही। विश्वास आणि व्याप्ती विशिष्ट उत्पादन आणि आवृत्तीची असते, संकल्पनेची नाही।

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

पहिला आदेश दाखवतो की तुम्ही खरोखर काय लिहिले; दुसरा स्टॅकला माहीत असलेली प्रोटोकॉल सारणी दाखवतो; तिसरा दाखवतो की या क्षणी किती सत्रे वेब पोर्ट वापरत आहेत। त्यांपैकी कोणतेही सांगत नाही की ती सत्रे कशासाठी आहेत। TLS अडवणे हा वेगळा निर्णय आहे ज्याची विश्वास, गोपनीयता आणि क्लायंट सुसंगतीची स्वतःची किंमत आहे। ते नामनिर्देशित गंतव्य नाकारण्याची पूर्वअट नाही, आणि बोगदे ओळखण्याची हमीही नाही।

उपकरणाकडे असलेला अधिकार नियंत्रित करा

स्वतःचे राउटिंग सारणी आणि फिल्टरिंग बदलू शकणाऱ्या उपकरणाकडे सामान्य अ‍ॅपकडे नसलेल्या क्षमता असतात। प्रवेश आणि कॉन्फिगरेशन व्यवस्थापनच ती क्षमता काढून टाकते, आणि बोगदा कोणता पोर्ट वापरेल याची पर्वा न करता ते कार्य करते।

याचा अर्थ मंजूर जोडण्यांना इतर उपकरणांसाठी पुढे पाठवण्याच्या अमर्याद परवानगीऐवजी त्यांची घोषित भूमिका मिळते, आणि याचा अर्थ स्थापना व नेटवर्क प्रशासनाचे हक्क धोरणाचा भाग आहेत, नंतरचा विचार नाही।

उरलेल्या प्रवाहांचे निरीक्षण करा। उपकरणाची ओळख, दिलेली भूमिका आणि प्रवाहाचा मेटाडेटा सहसंबंधित करा, आणि वर्गीकरणाला मर्यादांसह पुरावा माना, निकाल नाही।

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

दीर्घकालीन एन्क्रिप्टेड सत्र किंवा मोठी बाइट संख्या गैरवापराचा पुरावा नाही: बॅकअप, सहाय्य साधने आणि साइट दुवे सारखेच दिसतात। संकलन तपासणीपुरते मर्यादित ठेवा आणि जे सापडेल ते त्याच्या मालकीच्या प्रक्रियेखाली ठेवा।

अपवाद स्पष्ट करा

प्रत्येक वातावरणात असे गंतव्य असतात जी अद्यतने, प्रमाणीकरण आणि पुनर्प्राप्तीसाठी पोहोचण्यायोग्य राहिली पाहिजेत। ती उद्देश आणि जबाबदार व्यक्तीसह लिहा, आणि एका मागोमाग एक बिघाडात शोधण्याऐवजी त्यांचा आढावा घ्या।

व्यवसाय खरोखर विस्तृत बाह्य सेवेला परवानगी देतो तेव्हा ती सेवा देत असलेल्या अधिकाराचे मूल्यांकन करा, गंतव्याचे लेबल प्रत्येक वापर स्वीकारार्ह करते असे गृहीत धरण्याऐवजी।

आढावा न घेतलेला अपवाद टिकिट क्रमांक असलेले भोक आहे। नाव, कारण आणि आढावा तारखेसह अपवाद हा एक निर्णय आहे।

घोषणेऐवजी लिखित योजनेसह स्वीकारा

स्वीकाराचे दोन अर्धे आहेत: मंजूर काम अजूनही यशस्वी होते, आणि विशिष्ट प्रतिबंधित प्रकरणे अधिकृत चाचणीत अपयशी ठरतात। दोन्ही बदलापूर्वी लिहावी लागतात आणि नंतर पुनरावृत्ती करावी लागते।

त्या आढाव्यात एंडपॉइंट आणि धोरण बदल समाविष्ट करा, कारण लॅपटॉपवर जोडलेला मार्ग काठावर पूर्णपणे कार्यरत असलेला फिल्टर रद्द करू शकतो।

निष्पत्ती म्हणजे उर्वरित जोखमीच्या ज्ञात यादीसह मालकीची निर्गम सीमा। काही बंद पोर्टनी अनधिकृत VPN वापर संपवला असा दावा ते नाही।