Li timblokka ħruġ VPN qed timblokka indirizz, mhux persuna

Xi ħadd iżid l-indirizz tal-ħruġ ta’ fornitur VPN ma’ lista ta’ ċaħda, u l-abbuż jieqaf għal jum. Imbagħad klijent li jkun qed juża l-istess fornitur jiftaħ ticket, u r-regola tirriżulta usa’ milli ddeskriva xi ħadd. Il-blokk dejjem kien deċiżjoni dwar indirizz; il-problema hija li nbiegħ bħala deċiżjoni dwar identità. Aqsam it-tnejn qabel ma tikteb ir-regola li jmiss.

Ir-regola li tista’ tinforza hija dwar indirizz tas-sors

Regola tal-firewall taqbel ma’ qasam fil-pakkett, u l-qasam li qed taqbel miegħu huwa l-indirizz tas-sors. Dik ir-regola tista’ tirrifjuta b’mod affidabbli t-traffiku minn dak l-indirizz, li huwa effett reali u utli. Iżda ma tistax tgħidlek min bagħat il-pakkett, liema kont intuża jew jekk huwiex l-istess persuna li kkawżat il-problema ta’ bieraħ. Li tikteb ir-regola huwa faċli; li tiddeskrivi x’tipprova huwa fejn it-timijiet jiżbaljaw.

Jekk l-għan huwa li jitwaqqaf imġiba speċifika, regola tal-indirizz hija għodda mħaffra li tispiċċa disponibbli. Jekk l-għan huwa li jiġi identifikat utent, l-indirizz huwa l-evidenza ħażina u l-awtentikazzjoni tal-applikazzjoni hija dik it-tajba. Iddeċiedi liema għan għandek qabel ma r-regola tidħol fil-produzzjoni.

X’jgħidlek tassew tfittxija fir-reġistru

Tfittxija fir-reġistru tirritorna l-allokazzjoni u l-kuntatti rreġistrati għal netwerk. Ma telenkax is-servizzi li qed jaħdmu fuq kull indirizz, u ma tgħidlekx liema kerrej bagħat talba. Anke blokk rreġistrat żgħir jista’ jkun fih tagħbijiet tax-xogħol mhux relatati ta’ klijenti differenti.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Li ssolvi isem tal-host tal-ħruġ jagħtik l-indirizzi ritornati f’dak il-mument, li hija stampa u mhux inventarju. Li tespandi tweġiba waħda għall-prefiss kollu tal-hosting hija deċiżjoni separata b’firxa ta’ impatt usa’, mhux verżjoni iktar kompleta tal-istess evidenza. Jekk tuża feed ta’ klassifikazzjoni miżmum, it-tikketta tiegħu hija premessa bi żbalji magħrufa fiż-żewġ direzzjonijiet. Mhijiex awtentikazzjoni, u mhijiex lista ta’ persuni.

Ieqaf jekk ir-regola proposta tkun ġustifikata biss minn tfittxija. Stampa mhijiex deċiżjoni tal-ambitu.

Ħruġ kondiviżi u ħsara kollaterali

Ħruġ kondiviż iġorr ħafna utenti, u spazju tal-indirizzi kondiviż tfisser li indirizz pubbliku wieħed jista’ jirrappreżenta grupp sħiħ ta’ abbonati. Li timblokkjah jolqot lil kulħadd, inklużi dawk mingħajr ebda rabta mal-abbuż. Li tespandi għall-prefiss tal-madwar jimmultiplika dak l-effett u jżid iċ-ċans li servizz mhux relatat jiġi maqbud. Il-ħsara kollaterali mhijiex effett sekondarju li jiġi notat aktar tard; hija parti mid-definizzjoni tar-regola.

L-evidenza tal-pakketti għandha l-limiti tagħha. Indirizz tas-sors fi SYN iżolat jista’ jiġi ffalsifikat, għalhekk il-pakkett ma jistabbilixxix min beda xi ħaġa. Stat ta’ konnessjoni nofs miftuħa juri li beda handshake, mhux li l-parti l-oħra hija ħatja ta’ attakk ta’ riflessjoni. Konnessjoni mitmuma tgħid xi ħaġa differenti minn log tal-applikazzjoni, u sessjoni awtentikata ssemmi kont li la waħda minnhom ma ssemmi.

Agħżel l-iktar ambitu dejjaq li tippermetti l-politika, u ikteb min hu mistenni li jinqabad bi żball.

Evidenza li għandha tiġi rreġistrata, u triq lura għall-utenti

Kull regola tal-indirizz għandha ġġorr l-osservazzjoni li ġġustifikatha, id-data, l-ambitu u punt ta’ reviżjoni. Dak ir-reġistru huwa dak li jippermetti lill-persuna li jmiss tnaqqas ir-regola minflok ma taħseb għalfejn teżisti. Mingħajru, blokk temporanju jsir infrastruttura permanenti.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Iddeċiedi kif utent leġittimu jirkupra l-aċċess qabel ma tuża l-blokk, għax kju ta’ appoġġ mhuwiex pjan ta’ rkupru. Triq ta’ appell, eċċezzjoni dokumentata jew metodu ta’ aċċess differenti jaħdmu; li tgħid lin-nies jieqfu jużaw il-VPN tagħhom ma jaħdimx. Ippareġġa r-regola tan-netwerk ma’ kontrolli li jaqblu mal-imġiba: limiti tar-rata, permessi tal-kont iktar stretti jew infurzar ġewwa s-servizz innifsu. Blokk tal-ħruġ VPN jista’ jnaqqas traffiku mhux mixtieq mingħajr ma jagħmel tabib ta’ direttorju tal-utenti.

Is-sintomu li għandu jinżamm f’għajnejk huwa d-distakk bejn dak li tagħmel ir-regola u dak li n-nies jemmnu li tagħmel. Blokk jirrifjuta indirizz. Kont jidentifika utent. Żomm dawk is-sentenzi separati fit-ticket, u r-regola li jmiss tkun iktar faċli tiddefendi.