Għaliex l-iblukkar tal-portijiet tal-VPN ma jwaqqafx tunnelli mhux awtorizzati

Regola tal-firewall tirrifjuta t-traffiku li taqbel miegħu. Ma tirrifjutax kull użu ta' konnessjoni li tippermetti, u f'dan il-vojt ifallu ħafna mill-politiki kontra tunnelli mhux awtorizzati. L-iblukkar tal-portijiet tal-klijent li kien popolari ħames snin ilu jħalli kollox li jgħaddi minn 443 mhux mittiefes, u ma jgħid xejn dwar apparat li jista' jerġa' jikteb ir-rotot tiegħu stess. Ibni l-kontroll madwar l-awtorità u d-destinazzjonijiet, imbagħad aqra l-flussi li tassew tippermetti.

Għaliex lista tal-portijiet mhijiex politika

Il-portijiet huma kunċett tas-saff tat-trasport, u diversi teknoloġiji tat-tunnelli ma jużaw wieħed xejn. Oħrajn jaqsmu b'mod deliberat port mat-traffiku tal-web ordinarju, għax dak il-port huwa dak garantit li jgħaddi. Għalhekk regola msejsa fuq port storiku telenka ftit implimentazzjonijiet minflok il-klassi tal-imġiba. Tixjieħ ħażin ukoll: fil-mument li fornitur ibiddel il-valuri prestabbiliti, il-lista tiddeskrivi l-passat.

Agħar minn hekk, blokk suċċessiv fuq port wieħed jista' jinqara bħala prova li l-problema kollha ssolviet, u dan iġġarraf il-kontrolli li kienu jgħoddu.

In-numri tal-protokoll u l-portijiet huma spazji tal-ismijiet differenti

Lil GRE huwa assenjat in-numru tal-protokoll IP 47. Mhuwiex il-port TCP 47 u mhuwiex il-port UDP 47, u filtru miktub għal port ma jmissux. ESP u AH jinsabu fuq in-numri tal-protokoll 50 u 51 bl-istess proprjetà. It-traffiku inkapsulat jista' wkoll jinħeba ġewwa konnessjoni permessa, u għalhekk kategorija jew firma tista' tgħin imma qatt ma tiċċertifika l-iskop waħedha. Il-fiduċja u l-kopertura jappartjenu lil prodott u rilaxx speċifiċi, mhux lill-kunċett.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

L-ewwel kmand juri x'iktibt tassew; it-tieni juri t-tabella tal-protokolli li l-munzell jaf biha; it-tielet juri kemm sessjonijiet qed jużaw il-port tal-web bħalissa. L-ebda waħda minnhom ma tgħid għalxiex huma dawk is-sessjonijiet. L-interċettazzjoni tat-TLS hija deċiżjoni separata bl-ispejjeż tagħha stess fil-fiduċja, il-privatezza u l-kompatibilità mal-klijent. Mhijiex prekundizzjoni biex tiċħad destinazzjoni msemmija, u lanqas mhija garanzija li jintgħarfu t-tunnelli.

Ikkontrolla l-awtorità li għandu l-apparat

Apparat li jista' jbiddel it-tabella tal-imwiet u l-iffiltrar tiegħu stess għandu kapaċitajiet li applikazzjoni ordinarja m'għandhiex. Il-ġestjoni tad-dħul u tal-konfigurazzjoni hija dik li tneħħi dik il-kapaċità, u taħdem irrispettivament minn liema port il-mina tuża.

Dan ifisser li l-konnessjonijiet approvati jieħdu r-rwol iddikjarat tagħhom minflok permess bla limiti biex jgħaddu għal apparati oħra, u jfisser li d-drittijiet tal-installazzjoni u tal-amministrazzjoni tan-netwerk huma parti mill-politika minflok ħsieb ta' wara.

Osserva l-flussi li jibqgħu. Korrela l-identità tal-apparat, ir-rwol assenjat u l-metadati tal-fluss, u ttratta l-klassifikazzjoni bħala evidenza bil-limiti u mhux bħala sentenza.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Sessjoni kriptata fit-tul jew għadd kbir ta' bytes mhumiex prova ta' abbuż: il-backups, l-għodod ta' appoġġ u l-konnessjonijiet bejn is-siti jidhru l-istess. Żomm il-ġbir limitat għall-investigazzjoni u żżomm dak li ssib taħt il-proċess li jippossjedi dan.

Agħmel l-eċċezzjonijiet espliċiti

Kull ambjent għandu destinazzjonijiet li jridu jibqgħu aċċessibbli għall-aġġornamenti, l-awtentikazzjoni u l-irkupru. Iktebhom bi skop u persuna responsabbli, u reġistrahom minflok ma tiskoprihom waqfa waħda wara l-oħra.

Meta n-negozju tassew jippermetti servizz estern wiesa', evalwa l-awtorità li dan is-servizz iforni minflok ma tassumi li t-tikketta tad-destinazzjoni tagħmel kull użu aċċettabbli.

Eċċezzjoni mhux riveduta hija toqba b'numru ta' biljett. Eċċezzjoni b'isem, raġuni u data ta' reviżjoni hija deċiżjoni.

Aċċetta b'pjan miktub, mhux b'slogan

L-aċċettazzjoni għandha żewġ nofsijiet: ix-xogħol approvat xorta jirnexxi, u l-każijiet projbiti speċifiċi jonqsu f'test awtorizzat. It-tnejn iridu jinkitbu qabel il-bidla u jiġu ripetuti warajha.

Inkludi l-bidliet tal-punt finali u tal-politika f'dik ir-reviżjoni, għax rotta miżjuda fuq laptop tista' tħassar filtru li kien jaħdem perfettament fuq ix-xifer.

Ir-riżultat huwa fruntiera tal-ħruġ fil-pussess b'lista magħrufa ta' riskju li jifdal. Li tgħid li ftit portijiet magħluqa temmew l-użu mhux awtorizzat tal-VPN mhuwiex dan.