ولې د VPN پورټونو بندول غیر مجاز تونلونه نه بندوي

د فایر وال قاعده هغه ترافیک ردوي چې ورسره سمون لري۔ دا د هغه اړیکې هر کارول نه ردوي چې اجازه یې ورکوي، او د غیر مجاز تونلونو پر ضد ډېری پالیسۍ همدا په دې تشه کې ناکامېږي۔ پنځه کاله دمخه د مشهور کلاینټ پورټونه بندول هر هغه څه چې له 443 څخه تېریږي ناڅاپه پرېږدي، او د هغې وسیلې په اړه هېڅ نه وایي چې خپل لارې کولای شي بیا ولیکي۔ کنټرول د واک او منزلونو پر شاوخوا جوړ کړئ، بیا هغه بهیرونه ولولئ چې واقعاً اجازه یې ورکوئ۔

ولې د پورټونو لیست پالیسي نه دی

پورټونه د انتقال د طبقې تصور دی، او څو تونل ټکنالوژۍ هغه هېڅ نه کاروي۔ نور یې په قصد سره یو پورټ د عادي ویب ترافیک سره شریکوي، ځکه هغه پورټ دی چې تېرېدل یې تضمین شوي۔ نو د تاریخي پورټ پر بنسټ قاعده څو پلي کېدنې شمار کوي، نه د چلند ټولګه۔ دا هم بد زړېږي: کله چې چمتو کوونکی ډیفالټ ارزښتونه بدل کړي، لیست تېر وخت بیانوي۔

له دې هم بدتر، د یو پورټ بریالۍ بندول کېدای شي د دې ثبوت وګڼل شي چې ټوله ستونزه حل شوې، چې بیا هغه کنټرولونه ځنډوي چې اهمیت یې درلود۔

د پروتوکول شمېرې او پورټونه بېل نوم ځایونه دي

GRE ته د IP پروتوکول 47 شمېره ورکړل شوې ده۔ دا د TCP 47 پورټ نه دی او د UDP 47 پورټ نه دی، او د پورټ لپاره لیکل شوی فلټر هغه ته نه رسېږي۔ ESP او AH د همدې ځانګړنې سره په 50 او 51 پروتوکول شمېرو کې دي۔ پوښل شوی ترافیک کولای شي د اجازه شوې اړیکې په داخل کې هم پټ شي، نو یوه کټګوري یا لاسلیک مرسته کولای شي خو په خپله هېڅکله هدف نه تصدیقوي۔ باور او پوښښ یوې ځانګړې محصول او خپرېدو پورې اړه لري، نه تصور ته۔

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

لومړی حکم ښیي چې واقعاً څه لیکلي؛ دویم هغه پروتوکول جدول ښیي چې سټک پېژني؛ درېیم ښیي چې اوس مهال څو ناستې ویب پورټ کاروي۔ هیڅ یو یې نه وایي چې هغه ناستې د څه لپاره دي۔ د TLS شنډول یوه جلا پرېکړه ده چې خپل لګښتونه په باور، محرمیت او کلاینټ مطابقت کې لري۔ دا د نومول شوې منزل ردولو لپاره مخکینی شرط نه دی، او د تونلونو پېژندنې تضمین هم نه دی۔

هغه واک کنټرول کړئ چې وسیله یې لري

هغه وسیله چې خپل روټینګ جدول او فلټر بدلولی شي، هغه وړتیاوې لري چې عادي اپلیکیشن یې نه لري۔ د داخلېدو او تنظیم اداره کول هماغه وړتیا لیرې کوي، او پرته له دې چې تونل کوم پورټ کاروي عمل کوي۔

دا مانا دا ده چې تصویب شوې اړیکې د نورو وسیلو لپاره د لېږلو بې حده اجازې پر ځای خپل اعلان شوی رول ترلاسه کوي، او مانا دا ده چې د نصب او شبکې اداره کولو حقونه د پالیسۍ برخه ده، نه وروسته فکر۔

پاتې بهیرونه وګورئ۔ د وسیلې هویت، ټاکل شوی رول او د بهیر میټاډاټا سره ونښلوئ، او درجه بندي د حدودو سره ثبوت وګڼئ، نه پرېکړه۔

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

اوږد مهاله کوډ شوې ناسته یا د بایټونو لویه شمېره د ناوړه کارونې ثبوت نه دی: بیک اپ، ملاتړیز وسایل او د سایټونو ترمنځ اړیکې یو شان ښکاري۔ راټولول یوازې څېړنې ته محدود کړئ او څه چې ومومئ د هغه بهیر لاندې وساتئ چې مالکیت یې لري۔

استثنات ښکاره کړئ

هر چاپېریال کې هغه منزلونه شته چې باید د تازه کولو، تصدیق او بیا رغولو لپاره د لاسرسي وړ پاتې شي۔ هغه د هدف او مسؤل سره ولیکئ، او د یوې یوې خرابۍ په ترڅ کې کشفولو پر ځای یې بیاکتنه وکړئ۔

کله چې سوداګري واقعاً پراخه بهرنۍ خدمت ته اجازه ورکوي، هغه واک وارزوئ چې هغه خدمت یې برابروي، نه دا چې فرض کړئ د منزل نښه هر کارول منل شوي کوي۔

نه بیاکتل شوی استثنا د ټکټ شمېرې سره سوري دی۔ د نوم، دلیل او بیاکتنې نېټې سره استثنا پرېکړه ده۔

د شعار پر ځای د لیکلي پلان سره ومنئ

منل دوه نیمې برخې لري: تصویب شوی کار لا هم بریالی کېږي، او ځانګړي منع شوي قضیې په مجاز ازموینه کې ناکامېږي۔ دواړه باید د بدلون دمخه ولیکل شي او وروسته تکرار شي۔

په هغه بیاکتنه کې د پای نقطو او پالیسۍ بدلونونه شامل کړئ، ځکه په لپ ټاپ کې زیات شوی لار کولای شي هغه فلټر باطل کړي چې په څنډه کې بشپړ کار کاوه۔

ترلاسه شوی شی د وتلو مالکیت لرونکې پوله ده چې د پاتې خطر معلوم لیست سره وي۔ دا ادعا چې څو بند پورټونو غیر مجاز VPN کارول پای ته ورسول، هغه دا نه ده۔