Å blokkere en VPN-utgang blokkerer en adresse, ikke en person

Noen legger en VPN-leverandørs utgangsadresse på en blokkeringsliste, og misbruket stopper i en dag. Så sender en kunde som tilfeldigvis bruker samme leverandør inn en sak, og regelen viser seg å være bredere enn noen beskrev. Blokkeringen har alltid vært en adressebeslutning; problemet er at den ble solgt som en identitetsbeslutning. Skille de to før du skriver den neste regelen.

Regelen du kan håndheve handler om en kildeadresse

En brannmurregel matcher et felt i en pakke, og feltet du matcher er kildeadressen. Den regelen kan pålitelig avvise trafikk fra den adressen, noe som er en reell og nyttig effekt. Den kan ikke fortelle deg hvem som sendte pakken, hvilken konto som ble brukt, eller om det er samme person som forårsaket gårsdagens problem. Å skrive regelen er lett; å beskrive hva den beviser er der teamene gjør feil.

Hvis målet er å stoppe en bestemt atferd, er en adresseregel et stump verktøy som tilfeldigvis er tilgjengelig. Hvis målet er å identifisere en bruker, er adressen det gale beviset, og applikasjonens autentisering er det riktige. Bestem hvilket mål du har før regelen går i produksjon.

Hva et registeroppslag faktisk forteller deg

Et registeroppslag returnerer tildelingen og kontaktpersonene som er registrert for et nettverk. Det lister ikke tjenestene som kjører på hver adresse, og det forteller deg ikke hvilken leietaker som sendte en forespørsel. Selv en liten registrert blokk kan inneholde urelaterte arbeidsbelastninger fra forskjellige kunder.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Å slå opp et utgangsvertsnavn gir deg adressene som returneres i det øyeblikket, altså et øyeblikksbilde og ikke en oversikt. Å utvide ett svar til hele hostingprefikset er en egen beslutning med bredere effekt, ikke en mer fullstendig versjon av det samme beviset. Hvis du bruker en vedlikeholdt klassifiseringsfeed, er etiketten en gjetning med kjente feil i begge retninger. Det er ikke autentisering, og det er ikke en liste over personer.

Stopp hvis den foreslåtte regelen bare begrunnes med et oppslag. Et øyeblikksbilde er ikke en omfangsbeslutning.

Delte utganger og følgeskader

En delt utgang bærer mange brukere, og delt adresseområde betyr at én offentlig adresse kan representere en hel gruppe abonnenter. Å blokkere den rammer alle, også de uten forbindelse til misbruket. Å utvide til det omkringliggende prefikset mangedobler effekten og øker sjansen for at en urelatert tjeneste blir rammet. Følgeskaden er ikke en bivirkning man noterer senere; den er en del av regelens definisjon.

Pakkebevis har sine egne grenser. En kildeadresse i en isolert SYN kan forfalskes, så pakken fastslår ikke hvem som startet noe. En halvåpen tilkoblingstilstand viser at en håndtrykk startet, ikke at motparten er skyldig i et refleksjonsangrep. En avsluttet tilkobling sier noe annet enn en applikasjonslogg, og en autentisert sesjon navngir en konto som ingen av dem navngir.

Velg det snevrest omfanget policyen tillater, og skriv ned hvem som forventes rammet ved en feil.

Bevis som skal noteres, og en vei tilbake for brukere

Hver adresseregel bør bære observasjonen som begrunnet den, datoen, omfanget og et revisjonspunkt. Det er denne registreringen som gjør det mulig for neste person å innsnevre regelen i stedet for å gjette hvorfor den finnes. Uten den blir en midlertidig blokkering permanent infrastruktur.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Bestem hvordan en legitim bruker gjenvinner tilgang før du ruller ut blokkeringen, fordi en støttekø ikke er en gjenopprettingsplan. En klagevei, et dokumentert unntak eller en annen tilgangsmetode fungerer; å be folk slutte å bruke VPN-en sin fungerer ikke. Koble nettverksregelen til kontroller som passer atferden: hastighetsbegrensninger, strammere kontotillatelser eller håndheving inne i tjenesten selv. En VPN-utgangsblokkering kan redusere uønsket trafikk uten å late som den er en brukerkatalog.

Symptomet du bør holde øye med er gapet mellom hva regelen gjør og hva folk tror den gjør. En blokkering avviser en adresse. En konto identifiserer en bruker. Hold setningene adskilt i saken, og den neste regelen blir lettere å forsvare.