Å blokkere ein VPN-utgang blokkerer ei adresse, ikkje ein person

Nokon legg utgangsadressa til ein VPN-leverandør på ei blokkeringsliste, og misbruket stoppar for ein dag. Så sender ein kunde som tilfeldigvis brukar same leverandør inn ei sak, og regelen viser seg å vere vidare enn nokon skildra. Blokkeringa har alltid vore eit adressevedtak; problemet er at ho vart seld som eit identitetsvedtak. Skil dei to før du skriv den neste regelen.

Regelen du kan handheve handlar om ei kjeldeadresse

Ein brannmurregel matchar eit felt i ein pakke, og feltet du matchar er kjeldeadressa. Den regelen kan påliteleg avvise trafikk frå den adressa, noko som er ein reell og nyttig effekt. Han kan ikkje fortelje deg kven som sende pakken, kva konto som vart brukt, eller om det er same personen som skapte problemet i går. Å skrive regelen er lett; å skildre kva han provar er der teama gjer feil.

Viss målet er å stoppe ei bestemd åtferd, er ein adresseregel eit stump verktøy som tilfeldigvis er tilgjengeleg. Viss målet er å identifisere ein brukar, er adressa det gale provet, og autentiseringa i applikasjonen er det rette. Avgjer kva mål du har før regelen går i produksjon.

Kva eit registeroppslag faktisk fortel deg

Eit registeroppslag returnerer tildelinga og kontaktane som er registrerte for eit nettverk. Det listar ikkje tenestene som køyrer på kvar adresse, og det fortel deg ikkje kva leigetakar som sende ein førespurnad. Sjølv ein liten registrert blokk kan innehalde urelaterte arbeidslaster frå ulike kundar.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Å slå opp eit utgangsvertsnamn gir deg adressene som vart returnerte i det augneblinken, altså eit augneblinksbilete og ikkje ei oversikt. Å utvide eitt svar til heile hostingprefikset er eit eige vedtak med vidare verknad, ikkje ein meir fullstendig versjon av same provet. Viss du brukar ein vedlikehalden klassifiseringsstraum, er etiketten ei gissing med kjende feil i båe retningar. Det er ikkje autentisering, og det er ikkje ei liste over personar.

Stopp viss den føreslåtte regelen berre er grunngitt med eit oppslag. Eit augneblinksbilete er ikkje eit omfangsvedtak.

Delte utgangar og følgjeskadar

Ein delt utgang ber mange brukarar, og delt adresserom tyder at éi offentleg adresse kan representere ei heil gruppe abonnentar. Å blokkere ho råkar alle, òg dei utan noka knyting til misbruket. Å utvide til det omkringliggande prefikset mangfaldar verknaden og aukar sjansen for at ei urelatert teneste vert råka. Følgjeskaden er ikkje ein biverknad ein noterer seinare; han er ein del av definisjonen av regelen.

Pakkeprov har sine eigne grenser. Ei kjeldeadresse i ein isolert SYN kan falskast, så pakken fastslår ikkje kven som starta noko. Ein halvopen sambandstilstand viser at eit handtrykk starta, ikkje at motparten er skuldig i eit refleksjonsåtak. Eit avslutta samband seier noko anna enn ein applikasjonslogg, og ein autentisert sesjon nemner ein konto som ingen av dei nemner.

Vel det trongaste omfanget som politikken tillet, og skriv ned kven som er venta å verte råka ved ein feil.

Prov som skal skrivast ned, og ein veg tilbake for brukarar

Kvar adresseregel bør bera observasjonen som grunngav han, datoen, omfanget og eit revideringspunkt. Det er denne registreringa som gjer det mogleg for neste person å snevre inn regelen i staden for å gisse på kvifor han finst. Utan ho vert ei mellombels blokkering permanent infrastruktur.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Avgjer korleis ein legitim brukar får attende tilgang før du rullar ut blokkeringa, fordi ein støttekø er ikkje ein attopprettingsplan. Ein klageveg, eit dokumentert unntak eller ein annan tilgangsmetode verkar; å be folk slutte å bruke VPN-en sin verkar ikkje. Kople nettverksregelen til kontrollar som passar åtferda: fartsgrenser, trongare kontoløyve eller handheving inne i tenesta sjølv. Ei VPN-utgangsblokkering kan redusere uønskt trafikk utan å late som ho er ein brukarkatalog.

Symptomet du bør halde auge med er gapet mellom kva regelen gjer og kva folk trur han gjer. Ei blokkering avviser ei adresse. Ein konto identifiserer ein brukar. Hald setningane skilde i saka, og den neste regelen vert lettare å forsvare.