Blocarea unei ieșiri VPN blochează o adresă, nu o persoană

Cineva adaugă adresa de ieșire a unui furnizor VPN pe o listă de interdicții, iar abuzul se oprește pentru o zi. Apoi un client care folosește din întâmplare același furnizor deschide un tichet, iar regula se dovedește mai largă decât a descris cineva. Blocarea a fost întotdeauna o decizie despre o adresă; problema este că a fost vândută ca o decizie despre o identitate. Separați cele două înainte de a scrie următoarea regulă.

Regula pe care o puteți aplica privește o adresă sursă

O regulă de firewall se potrivește cu un câmp din pachet, iar câmpul cu care se potrivește este adresa sursă. Acea regulă poate refuza în mod fiabil traficul de la acea adresă, ceea ce este un efect real și util. Nu vă poate spune cine a trimis pachetul, ce cont a fost folosit sau dacă este aceeași persoană care a cauzat problema de ieri. Scrierea regulii este ușoară; descrierea a ceea ce dovedește este locul unde echipele greșesc.

Dacă scopul este oprirea unui comportament anume, o regulă de adresă este un instrument contondent care se întâmplă să fie disponibil. Dacă scopul este identificarea unui utilizator, adresa este dovada greșită, iar autentificarea aplicației este cea corectă. Decideți ce scop aveți înainte ca regula să intre în producție.

Ce vă spune de fapt o interogare a registrului

O interogare a registrului returnează alocarea și contactele înregistrate pentru o rețea. Nu enumeră serviciile care rulează pe fiecare adresă și nu vă spune ce chiriaș a trimis o cerere. Chiar și un bloc înregistrat mic poate conține sarcini de lucru fără legătură de la clienți diferiți.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Rezolvarea unui nume de gazdă de ieșire vă oferă adresele returnate în acel moment, ceea ce este o instantanee, nu un inventar. Extinderea unui răspuns la întregul prefix de găzduire este o decizie separată cu un impact mai larg, nu o versiune mai completă a aceleiași dovezi. Dacă folosiți un flux de clasificare întreținut, eticheta sa este o presupunere cu erori cunoscute în ambele direcții. Nu este autentificare și nu este o listă de persoane.

Opriți-vă dacă regula propusă este justificată doar de o interogare. O instantanee nu este o decizie de domeniu.

Ieșiri partajate și daune colaterale

O ieșire partajată transportă mulți utilizatori, iar spațiu de adrese partajat înseamnă că o singură adresă publică poate reprezenta un întreg grup de abonați. Blocarea ei îi afectează pe toți, inclusiv pe cei fără nicio legătură cu abuzul. Extinderea la prefixul din jur multiplică acel efect și crește șansa ca un serviciu fără legătură să fie prins. Daunele colaterale nu sunt un efect secundar de notat mai târziu; fac parte din definiția regulii.

Dovezile din pachete au propriile limite. O adresă sursă într-un SYN izolat poate fi falsificată, așa că pachetul nu stabilește cine a inițiat ceva. O stare de conexiune semi-deschisă arată că a început o strângere de mână, nu că partea opusă este vinovată de un atac prin reflexie. O conexiune încheiată spune altceva decât un jurnal de aplicație, iar o sesiune autentificată numește un cont pe care niciuna dintre ele nu îl numește.

Alegeți cel mai îngust domeniu pe care îl permite politica și notați cine se așteaptă să fie prins din greșeală.

Dovezi de înregistrat și o cale de întoarcere pentru utilizatori

Fiecare regulă de adresă ar trebui să poarte observația care a justificat-o, data, domeniul și un punct de revizuire. Acea înregistrare este ceea ce îi permite persoanei următoare să restrângă regula în loc să ghicească de ce există. Fără ea, o blocare temporară devine infrastructură permanentă.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Decideți cum un utilizator legitim recuperează accesul înainte de a implementa blocarea, pentru că o coadă de asistență nu este un plan de recuperare. O cale de contestare, o excepție documentată sau o metodă de acces diferită funcționează; să le spui oamenilor să renunțe la VPN nu funcționează. Asociați regula de rețea cu controale potrivite comportamentului: limite de rată, permisiuni de cont mai stricte sau aplicare în interiorul serviciului. O blocare a ieșirii VPN poate reduce traficul nedorit fără a se preface că este un director de utilizatori.

Simptomul de urmărit este decalajul dintre ce face regula și ce cred oamenii că face. O blocare refuză o adresă. Un cont identifică un utilizator. Țineți aceste propoziții separate în tichet, iar următoarea regulă va fi mai ușor de apărat.