Mengapa menyekat port VPN tidak menghentikan terowong tanpa kebenaran

Peraturan tembok api menolak trafik yang dipadankannya. Ia tidak menolak setiap penggunaan sambungan yang dibenarkannya, dan dalam jurang itulah kebanyakan dasar terhadap terowong tanpa kebenaran gagal. Menyekat port klien yang popular lima tahun lalu membiarkan segala yang melalui 443 tidak terusik, dan tidak berkata apa-apa tentang peranti yang boleh menulis semula laluannya sendiri. Bina kawalan di sekitar kuasa dan destinasi, kemudian baca aliran yang benar-benar anda benarkan.

Mengapa senarai port bukan dasar

Port ialah konsep lapisan pengangkutan, dan beberapa teknologi terowong tidak menggunakannya sama sekali. Yang lain sengaja berkongsi port dengan trafik web biasa kerana port itu ialah port yang dijamin dapat dilalui. Peraturan yang berkunci pada port sejarah oleh itu menyenaraikan beberapa pelaksanaan dan bukan kelas tingkah laku. Ia juga cepat lapuk: sebaik sahaja pembekal menukar nilai lalai, senarai itu menerangkan masa lalu.

Lebih teruk, sekatan yang berjaya pada satu port boleh dibaca sebagai bukti bahawa seluruh masalah telah selesai, yang kemudian melambatkan kawalan yang sepatutnya penting.

Nombor protokol dan port ialah ruang nama yang berbeza

GRE diberikan nombor protokol IP 47. Ia bukan port TCP 47 dan bukan port UDP 47, dan penapis yang ditulis untuk port tidak menyentuhnya. ESP dan AH terletak pada nombor protokol 50 dan 51 dengan sifat yang sama. Trafik berkapsul juga boleh bersembunyi di dalam sambungan yang dibenarkan, sebab itu kategori atau tandatangan boleh membantu tetapi tidak pernah membuktikan tujuan dengan sendirinya. Keyakinan dan liputan milik produk dan keluaran tertentu, bukan konsep.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Perintah pertama menunjukkan apa yang sebenarnya anda tulis; yang kedua menunjukkan jadual protokol yang diketahui oleh tindanan; yang ketiga menunjukkan berapa banyak sesi menggunakan port web sekarang. Tiada satu pun memberitahu untuk apa sesi itu. Pemintasan TLS ialah keputusan berasingan dengan kos kepercayaan, privasi dan keserasian klien yang tersendiri. Ia bukan prasyarat untuk menolak destinasi bernama, dan ia juga bukan jaminan pengecaman terowong.

Kawal kuasa yang ada pada peranti

Peranti yang boleh mengubah jadual penghalaan dan penapisannya sendiri mempunyai keupayaan yang tiada pada aplikasi biasa. Pengurusan kemasukan dan konfigurasi ialah yang menghapuskan keupayaan itu, dan ia bertindak tanpa mengira port yang akan digunakan oleh terowong.

Ini bermakna sambungan yang diluluskan mendapat peranan yang diisytiharkan dan bukan kebenaran tanpa had untuk memajukan bagi peranti lain, dan bermakna hak pemasangan dan pentadbiran rangkaian ialah sebahagian daripada dasar dan bukan fikiran kemudian.

Perhatikan aliran yang tinggal. Kaitkan identiti peranti, peranan yang diberikan dan metadata aliran, dan anggap pengelasan sebagai bukti dengan had dan bukan sebagai keputusan.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Sesi penyulitan yang panjang atau bilangan bait yang besar bukan bukti penyalahgunaan: sandaran, alat sokongan dan pautan antara tapak kelihatan sama. Hadkan pengumpulan kepada siasatan dan simpan apa yang anda temui di bawah proses yang memilikinya.

Jadikan pengecualian eksplisit

Setiap persekitaran mempunyai destinasi yang mesti kekal boleh dicapai untuk kemas kini, pengesahan dan pemulihan. Tuliskannya dengan tujuan dan pemilik, dan semak semula dan bukan menemukannya satu gangguan demi satu.

Apabila perniagaan benar-benar membenarkan perkhidmatan luar yang luas, nilai kuasa yang dibekalkan oleh perkhidmatan itu dan bukan menganggap label destinasi menjadikan setiap penggunaan boleh diterima.

Pengecualian yang tidak disemak ialah lubang dengan nombor tiket. Pengecualian dengan nama, sebab dan tarikh semakan ialah keputusan.

Terima dengan pelan bertulis, bukan dengan slogan

Penerimaan mempunyai dua separuh: kerja yang diluluskan masih berjaya, dan kes terlarang yang khusus gagal dalam ujian yang dibenarkan. Kedua-duanya perlu ditulis sebelum perubahan dan diulang selepasnya.

Masukkan perubahan titik akhir dan dasar dalam semakan itu, kerana laluan yang ditambah pada komputer riba boleh membatalkan penapis yang berfungsi sempurna di pinggir.

Hasil serahan ialah sempadan keluar yang dimiliki dengan senarai risiko sisa yang diketahui. Mendakwa bahawa beberapa port yang ditutup menamatkan penggunaan VPN tanpa kebenaran bukanlah itu.