VPN पोर्ट ब्लक गर्दा अनधिकृत सुरुङ किन रोकिँदैनन्

फायरवल नियमले आफूसँग मिल्ने ट्राफिक अस्वीकार गर्छ। यसले अनुमति दिएको जडानको हरेक प्रयोग अस्वीकार गर्दैन, र अनधिकृत सुरुङविरुद्धका अधिकांश नीति यही खाडलमा असफल हुन्छन्। पाँच वर्षअघि लोकप्रिय क्लाइन्टका पोर्ट ब्लक गर्दा 443 हुँदै जाने सबै अछुतो रहन्छ, र आफ्नै मार्ग पुनः लेख्न सक्ने उपकरणबारे केही भन्दैन। नियन्त्रणलाई अधिकार र गन्तव्यको वरिपरि बनाउनुहोस्, त्यसपछि तपाईंले साँच्चै अनुमति दिने प्रवाह पढ्नुहोस्।

पोर्ट सूची नीति किन होइन

पोर्टहरू यातायात तहको अवधारणा हुन्, र केही सुरुङ प्रविधिले तिनीहरू प्रयोगै गर्दैनन्। अरूले जानाजान सामान्य वेब ट्राफिकसँग एउटै पोर्ट साझा गर्छन्, किनकि त्यही पोर्ट ग्यारेन्टी भएर पार हुने हो। त्यसैले ऐतिहासिक पोर्टमा आधारित नियमले व्यवहारको वर्ग नभई मुठीभर कार्यान्वयन गन्छ। यो छिट्टै पुरानो पनि हुन्छ: कुनै प्रदायकले पूर्वनिर्धारित मान बदल्ने बित्तिकै सूचीले विगत वर्णन गर्छ।

झन् नराम्रो, एउटा पोर्टको सफल ब्लकलाई सम्पूर्ण समस्या समाधान भयो भन्ने प्रमाणका रूपमा पढ्न सकिन्छ, जसले महत्त्वपूर्ण हुने नियन्त्रणहरूलाई ढिलो बनाउँछ।

प्रोटोकल नम्बर र पोर्ट फरक नामस्थान हुन्

GRE लाई IP प्रोटोकल नम्बर 47 दिइएको छ। यो TCP पोर्ट 47 होइन र UDP पोर्ट 47 होइन, र पोर्टका लागि लेखिएको फिल्टरले यसलाई छुँदैन। ESP र AH त्यही गुणसहित प्रोटोकल नम्बर 50 र 51 मा छन्। इन्क्याप्सुलेटेड ट्राफिक अनुमति दिइएको जडानभित्र पनि लुक्न सक्छ, त्यसैले कुनै वर्ग वा हस्ताक्षरले मद्दत गर्न सक्छ, तर एक्लैले कहिल्यै उद्देश्य प्रमाणित गर्दैन। विश्वास र कभरेज कुनै विशेष उत्पादन र रिलिजको हुन्छ, अवधारणाको होइन।

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

पहिलो आदेशले तपाईंले साँच्चै के लेख्नुभयो देखाउँछ; दोस्रोले स्ट्याकलाई थाहा भएको प्रोटोकल तालिका देखाउँछ; तेस्रोले अहिले कति सत्रले वेब पोर्ट प्रयोग गरिरहेका छन् देखाउँछ। तीमध्ये कुनैले पनि ती सत्र केका लागि हुन् भन्दैन। TLS अवरोधन एउटा छुट्टै निर्णय हो जसको विश्वास, गोपनीयता र क्लाइन्ट अनुकूलताको आफ्नै लागत छ। यो नामित गन्तव्य अस्वीकार गर्ने पूर्वसर्त होइन, र सुरुङ चिन्ने ग्यारेन्टी पनि होइन।

उपकरणसँग भएको अधिकार नियन्त्रण गर्नुहोस्

आफ्नै राउटिङ तालिका र फिल्टरिङ बदल्न सक्ने उपकरणसँग सामान्य एपसँग नभएका क्षमता हुन्छन्। प्रवेश र कन्फिगरेसन व्यवस्थापनले नै त्यो क्षमता हटाउँछ, र सुरुङले कुन पोर्ट प्रयोग गर्छ भन्ने पर्वाह नगरी यो काम गर्छ।

यसको अर्थ स्वीकृत जडानहरूले अरू उपकरणका लागि अगाडि पठाउने असीमित अनुमतिको सट्टा आफ्नो घोषित भूमिका पाउँछन्, र यसको अर्थ स्थापना र सञ्जाल प्रशासनका अधिकार नीतिको भाग हुन्, पछिको सोच होइन।

बाँकी रहेका प्रवाह अवलोकन गर्नुहोस्। उपकरणको पहिचान, दिइएको भूमिका र प्रवाहको मेटाडेटा सहसम्बन्ध गर्नुहोस्, र वर्गीकरणलाई सीमासहितको प्रमाण मान्नुहोस्, फैसला होइन।

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

लामो समयको इन्क्रिप्टेड सत्र वा ठूलो बाइट संख्या दुरुपयोगको प्रमाण होइन: ब्याकअप, सहायता उपकरण र साइट लिङ्क उस्तै देखिन्छन्। सङ्कलनलाई अनुसन्धानभित्र सीमित राख्नुहोस् र भेटिएको कुरा त्यसको स्वामित्व भएको प्रक्रियाअन्तर्गत राख्नुहोस्।

अपवाद स्पष्ट बनाउनुहोस्

हरेक वातावरणमा अद्यावधिक, प्रमाणीकरण र पुनःप्राप्तिका लागि पुग्न सकिने रहनुपर्ने गन्तव्य हुन्छन्। ती उद्देश्य र जिम्मेवार व्यक्तिसहित लेख्नुहोस्, र एक-एक अवरोधमा पत्ता लगाउने सट्टा समीक्षा गर्नुहोस्।

जब व्यवसायले साँच्चै फराकिलो बाह्य सेवालाई अनुमति दिन्छ, त्यो सेवाले दिने अधिकारको मूल्याङ्कन गर्नुहोस्, गन्तव्यको लेबलले हरेक प्रयोग स्वीकार्य बनाउँछ भनी मान्नुको सट्टा।

समीक्षा नगरिएको अपवाद टिकट नम्बर भएको प्वाल हो। नाम, कारण र समीक्षा मिति भएको अपवाद एउटा निर्णय हो।

नाराको सट्टा लिखित योजनासँग स्वीकार गर्नुहोस्

स्वीकृतिका दुई आधा छन्: स्वीकृत काम अझै सफल हुन्छ, र विशेष निषिद्ध केसहरू अधिकृत परीक्षणमा असफल हुन्छन्। दुवैलाई परिवर्तनअघि लेख्नुपर्छ र पछि दोहोर्याउनुपर्छ।

त्यो समीक्षामा एन्डपोइन्ट र नीति परिवर्तन समावेश गर्नुहोस्, किनकि ल्यापटपमा थपिएको मार्गले किनारमा पूर्ण रूपमा काम गरिरहेको फिल्टर रद्द गर्न सक्छ।

नतिजा बाँकी जोखिमको ज्ञात सूचीसहितको स्वामित्व भएको निर्गम सीमा हो। केही बन्द पोर्टले अनधिकृत VPN प्रयोग अन्त्य गर्यो भन्ने दाबी त्यो होइन।