Dlaczego blokowanie portów VPN nie zatrzymuje nieautoryzowanych tuneli

Reguła zapory odmawia ruchu, do którego pasuje. Nie odmawia jednak każdego użycia połączenia, które pozwala, i właśnie w tej luce zawodzi większość polityk przeciw nieautoryzowanym tunelom. Blokowanie portów klienta, który był popularny pięć lat temu, pozostawia nietknięte wszystko, co jedzie przez 443, i nie mówi nic o urządzeniu, które potrafi przepisać własne trasy. Zbuduj kontrolę wokół uprawnień i celów, a następnie czytaj przepływy, które naprawdę dopuszczasz.

Dlaczego lista portów nie jest polityką

Porty to pojęcie warstwy transportowej, a kilka technologii tuneli w ogóle ich nie używa. Inne celowo dzielą port ze zwykłym ruchem internetowym, ponieważ ten port jest tym, który ma gwarantowane przejście. Reguła oparta na historycznym porcie wylicza więc garść implementacji, a nie klasę zachowań. Źle się też starzeje: w momencie, gdy dostawca zmienia wartości domyślne, lista opisuje przeszłość.

Co gorsza, udane zablokowanie jednego portu można odczytać jako dowód, że cały problem został rozwiązany, co opóźnia kontrole, które miałyby znaczenie.

Numery protokołów i porty to różne przestrzenie nazw

GRE ma przypisany numer protokołu IP 47. To nie jest port TCP 47 ani port UDP 47, a filtr napisany dla portu go nie dotyka. ESP i AH zajmują numery protokołów 50 i 51 z tą samą właściwością. Zhermetyzowany ruch może też ukryć się wewnątrz dozwolonego połączenia, dlatego kategoria lub sygnatura może pomóc, ale nigdy sama nie poświadcza celu. Zaufanie i pokrycie należą do konkretnego produktu i wydania, a nie do koncepcji.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Pierwsze polecenie pokazuje, co naprawdę napisałeś; drugie pokazuje tabelę protokołów, którą zna stos; trzecie pokazuje, ile sesji korzysta teraz z portu sieciowego. Żadne z nich nie mówi, do czego służą te sesje. Przechwytywanie TLS to osobna decyzja z własnymi kosztami zaufania, prywatności i zgodności z klientami. Nie jest warunkiem odmowy wskazanemu celowi i nie jest też gwarancją rozpoznania tuneli.

Kontroluj uprawnienia, które ma urządzenie

Urządzenie, które może zmienić własną tabelę routingu i filtrowanie, ma możliwości, których zwykła aplikacja nie ma. Zarządzanie dopuszczeniem i konfiguracją jest tym, co usuwa tę możliwość, i działa niezależnie od tego, którego portu użyłby tunel.

To oznacza, że zatwierdzone przyłączenia otrzymują swoją zadeklarowaną rolę zamiast nieograniczonego pozwolenia na przekazywanie za inne urządzenia, i oznacza, że uprawnienia do instalacji i administracji siecią są częścią polityki, a nie dodatkiem.

Obserwuj przepływy, które pozostają. Koreluj tożsamość urządzenia, przypisaną rolę i metadane przepływu, a klasyfikację traktuj jako dowód z ograniczeniami, a nie wyrok.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Długotrwała zaszyfrowana sesja lub duża liczba bajtów nie jest dowodem nadużycia: kopie zapasowe, narzędzia wsparcia i łącza między lokalizacjami wyglądają tak samo. Ogranicz zbieranie do śledztwa i zachowaj to, co znajdziesz, w ramach procesu, który jest tego właścicielem.

Uczyń wyjątki jawnymi

Każde środowisko ma cele, które muszą pozostać osiągalne dla aktualizacji, uwierzytelniania i odzyskiwania. Zapisz je z celem i właścicielem i przeglądaj je, zamiast odkrywać je po jednej awarii.

Gdy firma naprawdę dopuszcza szeroką usługę zewnętrzną, oceń uprawnienia, które ta usługa zapewnia, zamiast zakładać, że etykieta celu czyni każde użycie akceptowalnym.

Niesprawdzony wyjątek to dziura z numerem zgłoszenia. Wyjątek z nazwą, powodem i datą przeglądu to decyzja.

Akceptuj z pisemnym planem, a nie ze sloganem

Akceptacja ma dwie połowy: zatwierdzona praca nadal się udaje, a konkretne zabronione przypadki zawodzą w autoryzowanym teście. Oba trzeba zapisać przed zmianą i powtórzyć po niej.

Uwzględnij w tym przeglądzie zmiany punktów końcowych i polityki, ponieważ trasa dodana na laptopie może unieważnić filtr, który doskonale działał na brzegu.

Rezultatem jest własna granica wyjścia ze znaną listą pozostałego ryzyka. Twierdzenie, że kilka zamkniętych portów zakończyło nieautoryzowane używanie VPN, nie jest tym.