Menyekat Keluar VPN Menyekat Alamat, Bukan Orang

Seseorang menambah alamat keluar penyedia VPN ke senarai tolak, dan penyalahgunaan berhenti selama sehari. Kemudian pelanggan yang kebetulan menggunakan penyedia yang sama membuka tiket, dan peraturan itu ternyata lebih luas daripada yang diterangkan sesiapa. Sekatan itu sentiasa keputusan tentang alamat; masalahnya ialah ia dijual sebagai keputusan tentang identiti. Pisahkan kedua-duanya sebelum anda menulis peraturan seterusnya.

Peraturan yang boleh anda kuatkuasakan ialah tentang alamat sumber

Peraturan tembok api memadankan satu medan dalam paket, dan medan yang anda padankan ialah alamat sumber. Peraturan itu boleh menolak trafik dari alamat tersebut dengan pasti, yang merupakan kesan nyata dan berguna. Ia tidak boleh memberitahu siapa menghantar paket, akaun apa yang digunakan atau sama ada orang itu orang yang sama yang menyebabkan masalah semalam. Menulis peraturan itu mudah; menerangkan apa yang dibuktikannya ialah tempat pasukan tersilap.

Jika matlamatnya ialah menghentikan tingkah laku tertentu, peraturan alamat ialah alat tumpul yang kebetulan tersedia. Jika matlamatnya ialah mengenal pasti pengguna, alamat ialah bukti yang salah dan pengesahan aplikasi ialah yang betul. Tentukan matlamat anda sebelum peraturan masuk ke pengeluaran.

Apa yang sebenarnya diberitahu oleh carian pendaftaran

Carian pendaftaran memulangkan peruntukan dan kenalan yang didaftarkan untuk sesuatu rangkaian. Ia tidak menyenaraikan perkhidmatan yang berjalan pada setiap alamat, dan tidak memberitahu penyewa mana yang menghantar permintaan. Malah blok berdaftar yang kecil boleh mengandungi beban kerja tidak berkaitan daripada pelanggan berbeza.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Menyelesaikan nama hos keluar memberikan anda alamat yang dipulangkan pada saat itu, iaitu petikan, bukan inventori. Meluaskan satu jawapan kepada seluruh awalan pengehosan ialah keputusan berasingan dengan jejari kesan lebih luas, bukan versi lebih lengkap bagi bukti yang sama. Jika anda menggunakan suapan klasifikasi yang diselenggara, labelnya ialah tekaan dengan kesilapan yang diketahui dalam kedua-dua arah. Ia bukan pengesahan, dan ia bukan senarai orang.

Berhenti jika peraturan yang dicadangkan hanya wajar berdasarkan carian. Petikan bukan keputusan skop.

Keluar dikongsi dan kerosakan sampingan

Keluar dikongsi membawa ramai pengguna, dan ruang alamat dikongsi bermaksud satu alamat awam boleh mewakili seluruh kumpulan pelanggan. Menyekatnya menjejaskan mereka semua, termasuk yang tiada kaitan dengan penyalahgunaan. Meluaskan kepada awalan sekeliling menggandakan kesan itu dan meningkatkan peluang perkhidmatan tidak berkaitan terperangkap. Kerosakan sampingan bukan kesan sampingan yang dicatat kemudian; ia sebahagian daripada takrif peraturan.

Bukti paket mempunyai hadnya sendiri. Alamat sumber dalam SYN terpencil boleh dipalsukan, jadi paket tidak menetapkan siapa memulakan apa-apa. Keadaan sambungan separuh terbuka menunjukkan jabat tangan bermula, bukan bahawa pihak lawan bersalah atas serangan pantulan. Sambungan selesai mengatakan sesuatu yang berbeza daripada log aplikasi, dan sesi disahkan menamakan akaun yang kedua-duanya tidak namakan.

Pilih skop paling sempit yang dibenarkan oleh dasar, dan tuliskan siapa yang dijangka terperangkap secara tersilap.

Bukti untuk direkodkan, dan jalan pulang untuk pengguna

Setiap peraturan alamat harus membawa pemerhatian yang mewajarkannya, tarikh, skop dan titik semakan. Rekod itulah yang membolehkan orang seterusnya mengecilkan peraturan itu daripada meneka mengapa ia wujud. Tanpanya, sekatan sementara menjadi infrastruktur kekal.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Tentukan bagaimana pengguna sah mendapatkan semula akses sebelum anda melaksanakan sekatan, kerana baris gilir sokongan bukan pelan pemulihan. Laluan rayuan, pengecualian terdokumentasi atau kaedah akses berbeza semuanya berkesan; memberitahu orang berhenti menggunakan VPN mereka tidak berkesan. Pasangkan peraturan rangkaian dengan kawalan yang sesuai dengan tingkah laku: had kadar, kebenaran akaun lebih ketat atau penguatkuasaan dalam perkhidmatan itu sendiri. Sekatan keluar VPN boleh mengurangkan trafik tidak diingini tanpa berpura-pura menjadi direktori pengguna.

Gejala yang perlu diberi perhatian ialah jurang antara apa yang peraturan lakukan dan apa yang orang percaya ia lakukan. Sekatan menolak alamat. Akaun mengenal pasti pengguna. Kekalkan ayat itu berasingan dalam tiket, dan peraturan seterusnya akan lebih mudah dipertahankan.