Een VPN-uitgang blokkeren blokkeert een adres, niet een persoon

Iemand zet het uitgangsadres van een VPN-aanbieder op een blokkeerlijst, en het misbruik stopt voor een dag. Dan dient een klant die toevallig dezelfde aanbieder gebruikt een ticket in, en de regel blijkt breder dan iemand had beschreven. De blokkade was altijd een beslissing over een adres; het probleem is dat ze als een beslissing over een identiteit werd verkocht. Scheid de twee voordat je de volgende regel schrijft.

De regel die je kunt handhaven gaat over een bronadres

Een firewallregel komt overeen met een veld in een pakket, en het veld waarop je matcht is het bronadres. Die regel kan verkeer van dat adres betrouwbaar weigeren, wat een echt en nuttig effect is. Hij kan je niet vertellen wie het pakket heeft gestuurd, welk account is gebruikt of het dezelfde persoon is die het probleem van gisteren veroorzaakte. De regel schrijven is makkelijk; beschrijven wat hij bewijst is waar teams de fout in gaan.

Als het doel is een bepaald gedrag te stoppen, is een adresregel een bot instrument dat toevallig beschikbaar is. Als het doel is een gebruiker te identificeren, is het adres het verkeerde bewijs en is de authenticatie van de applicatie het juiste. Bepaal welk doel je hebt voordat de regel in productie gaat.

Wat een registratie-opzoeking je echt vertelt

Een registeropzoeking geeft de toewijzing en de contacten die voor een netwerk zijn geregistreerd. Het vermeldt niet de diensten die op elk adres draaien, en het zegt niet welke huurder een verzoek heeft gestuurd. Zelfs een klein geregistreerd blok kan niet-verwante workloads van verschillende klanten bevatten.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Het oplossen van een uitgangshostnaam geeft je de adressen die op dat moment worden teruggegeven, dat is een momentopname en geen inventaris. Eén antwoord uitbreiden naar het hele hostingprefix is een aparte beslissing met een grotere impact, geen vollediger versie van hetzelfde bewijs. Als je een onderhouden classificatiefeed gebruikt, is het label een gok met bekende fouten in beide richtingen. Het is geen authenticatie, en het is geen lijst van mensen.

Stop als de voorgestelde regel alleen door een opzoeking wordt gerechtvaardigd. Een momentopname is geen bereikbeslissing.

Gedeelde uitgangen en bijkomende schade

Een gedeelde uitgang draagt veel gebruikers, en gedeelde adresruimte betekent dat één openbaar adres een hele groep abonnees kan vertegenwoordigen. Die blokkeren treft iedereen, ook degenen zonder enige band met het misbruik. Uitbreiden naar het omliggende prefix vermenigvuldigt dat effect en vergroot de kans dat een niet-verwante dienst wordt geraakt. De bijkomende schade is geen neveneffect dat je later noteert; het is deel van de definitie van de regel.

Pakketbewijs heeft zijn eigen grenzen. Een bronadres in een geïsoleerde SYN kan worden vervalst, dus het pakket stelt niet vast wie iets is begonnen. Een halfopen verbindingsstatus toont dat een handshake begon, niet dat de tegenpartij schuldig is aan een reflectieaanval. Een afgeronde verbinding zegt iets anders dan een applicatielog, en een geauthenticeerde sessie noemt een account dat geen van beide noemt.

Kies het smalste bereik dat het beleid toestaat, en schrijf op wie naar verwachting per ongeluk wordt geraakt.

Bewijs om vast te leggen, en een weg terug voor gebruikers

Elke adresregel hoort de observatie te dragen die haar rechtvaardigde, de datum, het bereik en een herzieningspunt. Die registratie is wat de volgende persoon in staat stelt de regel te verkleinen in plaats van te raden waarom hij bestaat. Zonder die registratie wordt een tijdelijke blokkade permanente infrastructuur.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Bepaal hoe een legitieme gebruiker de toegang herstelt voordat je de blokkade uitrolt, want een supportwachtrij is geen herstelplan. Een bezwaarroute, een gedocumenteerde uitzondering of een andere toegangsmethode werken; mensen vertellen dat ze hun VPN moeten stoppen werkt niet. Koppel de netwerkregel aan controles die bij het gedrag passen: snelheidslimieten, striktere accountrechten of handhaving binnen de dienst zelf. Een VPN-uitgangsblokkade kan ongewenst verkeer verminderen zonder zich voor te doen als een gebruikersgids.

Het symptoom dat je in het oog moet houden is de kloof tussen wat de regel doet en wat mensen denken dat hij doet. Een blokkade weigert een adres. Een account identificeert een gebruiker. Houd die zinnen apart in het ticket, en de volgende regel is makkelijker te verdedigen.