Kvifor blokkering av VPN-portar ikkje stoggar uautoriserte tunnelar

Ein brannmurregel avviser trafikken han passar til. Han avviser ikkje all bruk av ei tilkopling han tillèt, og det er i dette gapet dei fleste retningslinjer mot uautoriserte tunnelar sviktar. Blokkering av portane til klienten som var populær for fem år sidan lèt alt som går over 443 stå urørt, og det seier ingenting om ei eining som kan skrive om sine eigne ruter. Bygg kontrollen rundt myndet og destinasjonar, og les deretter flytane du faktisk tillèt.

Kvifor ei portliste ikkje er ei retningslinje

Portar er eit transportlagomgrep, og fleire tunnelteknologiar brukar ingen i det heile. Andre deler med vilje ein port med vanleg webtrafikk, fordi den porten er den som garantert slepp gjennom. Ein regel basert på ein historisk port listar derfor opp ein handfull implementasjonar i staden for åtferdsklassen. Han eldast òg dårleg: i det augeblikket ein leverandør endrar standardverdiar, skildrar lista fortida.

Verre enn det, ei vellukka blokkering på ein port kan lesast som prov på at heile problemet er løyst, noko som forseinkar kontrollane som ville ha betydd noko.

Protokollnummer og portar er ulike namnerom

GRE er tildelt IP-protokollnummer 47. Det er ikkje TCP-port 47 og ikkje UDP-port 47, og eit filter skrive for ein port rører det ikkje. ESP og AH ligg på protokollnummer 50 og 51 med same eigenskap. Innkapsla trafikk kan òg gøyme seg inne i ei tillaten tilkopling, og derfor kan ein kategori eller signatur hjelpe, men han stadfestar aldri føremålet på eiga hand. Tillit og dekning høyrer til eit bestemt produkt og ei bestemt utgåve, ikkje til omgrepet.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Den første kommandoen viser kva du faktisk skreiv; den andre viser protokolltabellen stakken kjenner; den tredje viser kor mange økter som brukar webporten akkurat no. Ingen av dei seier kva desse øktene er til. TLS-avlytting er eit eige vedtak med eigne kostnader for tillit, personvern og klientkompatibilitet. Det er ikkje ein føresetnad for å avvise ein namngjeven destinasjon, og det er heller ikkje ein garanti for å kjenne att tunnelar.

Styr myndet eininga har

Ei eining som kan endre si eiga rutetabell og filtrering har evner ein vanleg applikasjon ikkje har. Inntaks- og konfigurasjonsstyring er det som fjernar den evna, og ho verkar uavhengig av kva port tunnelen ville ha brukt.

Det betyr at godkjende tilkoplingar får si deklarerte rolle i staden for ubegrensa løyve til å videresende for andre einingar, og det betyr at installasjons- og nettverksadministrasjonsrettar er ein del av retningslinja i staden for ein ettertanke.

Observer flytane som blir att. Korreler einingidentitet, tildelt rolle og flytmetadata, og handsam klassifisering som prov med grenser i staden for som ein dom.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Ei langvarig kryptert økt eller eit stort byteantal er ikkje prov på misbruk: tryggleikskopiar, støtteverktøy og lenkjer mellom lokasjonar ser like ut. Hald innsamlinga avgrensa til etterforskinga og oppbevar det du finn under prosessen som eig det.

Gjer unntaka eksplisitte

Kvart miljø har destinasjonar som må halde fram med å vere tilgjengelege for oppdateringar, autentisering og gjenoppretting. Skriv dei ned med eit føremål og ein eigar, og gå gjennom dei i staden for å oppdage dei éin avbrot om gongen.

Når verksemda faktisk tillèt ei brei ekstern teneste, vurder myndet tenesta gir, i staden for å anta at destinasjonsetiketten gjer kvar bruk akseptabel.

Eit unntak som ikkje er gjennomgått er eit hol med eit saksnummer. Eit unntak med namn, grunn og gjennomgangsdato er eit vedtak.

Godta med ein skriftleg plan, ikkje eit slagord

Godkjenning har to halvdelar: det godkjende arbeidet lukkast framleis, og dei spesifikke forbodne tilfella feilar i ein autorisert test. Begge må skrivast før endringa og gjentakast etter henne.

Ta med endringar i endepunkt og retningslinjer i den gjennomgangen, fordi ei rute lagd til på ein berbar datamaskin kan oppheve eit filter som fungerte perfekt ved kanten.

Leveransen er ei eigd utgangsgrense med ei kjend liste over gjenverande risiko. Å hevde at nokre få lukka portar avslutta uautorisert VPN-bruk er ikkje det.