Bloquear uma saída de VPN bloqueia um endereço, não uma pessoa

Alguém acrescenta o endereço de saída de um fornecedor de VPN a uma lista de bloqueio, e o abuso pára por um dia. Depois um cliente que usa por acaso o mesmo fornecedor abre um ticket, e a regra revela-se mais ampla do que qualquer pessoa descreveu. O bloqueio sempre foi uma decisão sobre um endereço; o problema é que foi vendido como uma decisão sobre uma identidade. Separe as duas coisas antes de escrever a regra seguinte.

A regra que pode aplicar diz respeito a um endereço de origem

Uma regra de firewall corresponde a um campo do pacote, e o campo com que corresponde é o endereço de origem. Essa regra pode recusar de forma fiável o tráfego desse endereço, o que é um efeito real e útil. Não pode dizer quem enviou o pacote, que conta foi usada nem se é a mesma pessoa que causou o problema de ontem. Escrever a regra é fácil; descrever o que ela prova é onde as equipas se enganam.

Se o objetivo é travar um comportamento específico, uma regra de endereço é um instrumento rombo que por acaso está disponível. Se o objetivo é identificar um utilizador, o endereço é a prova errada e a autenticação da aplicação é a certa. Decida qual é o objetivo antes de a regra entrar em produção.

O que uma consulta ao registo realmente lhe diz

Uma consulta ao registo devolve a atribuição e os contactos registados para uma rede. Não lista os serviços que correm em cada endereço e não diz que inquilino enviou um pedido. Mesmo um bloco registado pequeno pode conter cargas de trabalho não relacionadas de clientes diferentes.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Resolver um nome de anfitrião de saída dá-lhe os endereços devolvidos naquele momento, o que é um instantâneo e não um inventário. Expandir uma resposta para todo o prefixo de alojamento é uma decisão separada com um raio de impacto maior, não uma versão mais completa da mesma prova. Se usar um feed de classificação mantido, o rótulo é um palpite com erros conhecidos em ambas as direções. Não é autenticação e não é uma lista de pessoas.

Pare se a regra proposta se justifica apenas com uma consulta. Um instantâneo não é uma decisão de âmbito.

Saídas partilhadas e danos colaterais

Uma saída partilhada transporta muitos utilizadores, e espaço de endereçamento partilhado significa que um endereço público pode representar todo um grupo de assinantes. Bloqueá-la afeta todos eles, incluindo os que não têm qualquer ligação ao abuso. Expandir para o prefixo circundante multiplica esse efeito e aumenta a probabilidade de um serviço não relacionado ser apanhado. O dano colateral não é um efeito secundário a anotar mais tarde; faz parte da definição da regra.

As provas de pacotes têm os seus próprios limites. Um endereço de origem num SYN isolado pode ser falsificado, pelo que o pacote não estabelece quem iniciou o quê. Um estado de ligação semiaberta mostra que começou um aperto de mão, não que a outra parte seja culpada de um ataque de reflexão. Uma ligação terminada diz algo diferente de um registo de aplicação, e uma sessão autenticada nomeia uma conta que nenhum dos dois nomeia.

Escolha o âmbito mais estreito que a política permite, e anote quem se espera que seja apanhado por engano.

Provas a registar e um caminho de regresso para os utilizadores

Cada regra de endereço deve levar a observação que a justificou, a data, o âmbito e um ponto de revisão. É esse registo que permite à pessoa seguinte reduzir a regra em vez de adivinhar porque existe. Sem ele, um bloqueio temporário torna-se infraestrutura permanente.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Decida como um utilizador legítimo recupera o acesso antes de implementar o bloqueio, porque uma fila de apoio não é um plano de recuperação. Um caminho de recurso, uma exceção documentada ou um método de acesso diferente funcionam; dizer às pessoas para deixarem de usar a VPN não funciona. Combine a regra de rede com controlos adequados ao comportamento: limites de taxa, permissões de conta mais restritas ou aplicação dentro do próprio serviço. Um bloqueio de saída VPN pode reduzir tráfego indesejado sem se fazer passar por um diretório de utilizadores.

O sintoma a ter em vista é a distância entre o que a regra faz e o que as pessoas acreditam que ela faz. Um bloqueio recusa um endereço. Uma conta identifica um utilizador. Mantenha essas frases separadas no ticket, e a regra seguinte será mais fácil de defender.