Blokowanie wyjścia VPN blokuje adres, a nie osobę

Ktoś dodaje adres wyjściowy dostawcy VPN do listy blokad, a nadużycia ustają na jeden dzień. Potem klient, który przypadkiem korzysta z tego samego dostawcy, otwiera zgłoszenie, i okazuje się, że reguła jest szersza, niż ktokolwiek opisał. Blokada zawsze była decyzją o adresie; problem w tym, że sprzedano ją jako decyzję o tożsamości. Rozdziel oba przed napisaniem następnej reguły.

Reguła, którą możesz wyegzekwować, dotyczy adresu źródłowego

Reguła zapory dopasowuje pole w pakiecie, a polem, które dopasowujesz, jest adres źródłowy. Ta reguła może niezawodnie odrzucać ruch z tego adresu, co jest realnym i użytecznym skutkiem. Nie może jednak powiedzieć, kto wysłał pakiet, jakie konto zostało użyte ani czy to ta sama osoba, która spowodowała wczorajszy problem. Napisanie reguły jest łatwe; opisanie, co ona dowodzi, to miejsce, w którym zespoły się mylą.

Jeśli celem jest zatrzymanie określonego zachowania, reguła adresowa jest tępym narzędziem, które akurat jest pod ręką. Jeśli celem jest zidentyfikowanie użytkownika, adres jest złym dowodem, a właściwym jest uwierzytelnianie aplikacji. Zdecyduj, jaki masz cel, zanim reguła trafi na produkcję.

Co naprawdę mówi zapytanie do rejestru

Zapytanie do rejestru zwraca przydział i kontakty zarejestrowane dla sieci. Nie wymienia usług działających na poszczególnych adresach i nie mówi, który najemca wysłał żądanie. Nawet mały zarejestrowany blok może zawierać niepowiązane obciążenia różnych klientów.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Rozwiązanie nazwy hosta wyjściowego daje adresy zwrócone w danej chwili, czyli migawkę, a nie inwentarz. Rozszerzenie jednej odpowiedzi na cały prefiks hostingu to odrębna decyzja o szerszym zasięgu, a nie pełniejsza wersja tego samego dowodu. Jeśli korzystasz z utrzymywanego kanału klasyfikacji, jego etykieta jest domysłem ze znanymi błędami w obu kierunkach. To nie jest uwierzytelnianie i nie jest lista osób.

Zatrzymaj się, jeśli proponowana reguła jest uzasadniona tylko zapytaniem. Migawka nie jest decyzją o zakresie.

Współdzielone wyjścia i szkody uboczne

Współdzielone wyjście obsługuje wielu użytkowników, a współdzielona przestrzeń adresowa oznacza, że jeden publiczny adres może reprezentować całą grupę abonentów. Zablokowanie go dotyka wszystkich, także tych bez związku z nadużyciami. Rozszerzenie na otaczający prefiks mnoży ten efekt i zwiększa szansę, że ucierpi niepowiązana usługa. Szkoda uboczna nie jest efektem pobocznym do odnotowania później; jest częścią definicji reguły.

Dowody z pakietów mają własne granice. Adres źródłowy w izolowanym SYN można sfałszować, więc pakiet nie ustala, kto coś rozpoczął. Stan połączenia półotwartego pokazuje, że rozpoczęło się uzgadnianie, a nie że druga strona jest winna ataku odbiciowego. Zakończone połączenie mówi coś innego niż dziennik aplikacji, a uwierzytelniona sesja wskazuje konto, którego żadne z nich nie wskazuje.

Wybierz najwęższy zakres, na jaki pozwala polityka, i zapisz, kogo można trafić omyłkowo.

Dowody do zapisania i droga powrotna dla użytkowników

Każda reguła adresowa powinna nieść obserwację, która ją uzasadniła, datę, zakres i punkt przeglądu. To ten zapis pozwala następnej osobie zawęzić regułę zamiast zgadywać, dlaczego istnieje. Bez niego tymczasowa blokada staje się trwałą infrastrukturą.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Zdecyduj, jak uprawniony użytkownik odzyska dostęp, zanim wdrożysz blokadę, ponieważ kolejka wsparcia nie jest planem odtworzenia. Ścieżka odwołania, udokumentowany wyjątek lub inna metoda dostępu działają; rada, by przestać używać VPN, nie działa. Połącz regułę sieciową z kontrolami pasującymi do zachowania: limity szybkości, ostrzejsze uprawnienia konta lub egzekwowanie wewnątrz samej usługi. Blokada wyjścia VPN może ograniczyć niechciany ruch bez udawania katalogu użytkowników.

Objawem, który warto mieć na uwadze, jest różnica między tym, co robi reguła, a tym, co ludzie uważają, że robi. Blokada odrzuca adres. Konto identyfikuje użytkownika. Trzymaj te zdania osobno w zgłoszeniu, a następną regułę będzie łatwiej obronić.