Блокировка выхода VPN блокирует адрес, а не человека

Кто-то добавляет адрес выхода провайдера VPN в список запретов, и злоупотребления прекращаются на день. Потом клиент, который случайно пользуется тем же провайдером, открывает обращение, и правило оказывается шире, чем кто-либо описывал. Блокировка всегда была решением об адресе; проблема в том, что её продали как решение о личности. Разделите эти две вещи, прежде чем писать следующее правило.

Правило, которое вы можете применить, касается адреса источника

Правило межсетевого экрана сопоставляется с полем в пакете, и поле, с которым вы сопоставляете, — это адрес источника. Такое правило может надёжно отклонять трафик с этого адреса, и это реальный и полезный эффект. Но оно не может сказать, кто отправил пакет, какой учётной записью пользовались или тот ли это человек, который создал вчерашнюю проблему. Написать правило легко; описать, что оно доказывает, — вот где команды ошибаются.

Если цель — остановить определённое поведение, правило об адресе является грубым инструментом, который просто оказался под рукой. Если цель — идентифицировать пользователя, адрес является неверным доказательством, а аутентификация приложения — верным. Определитесь с целью до того, как правило попадёт в эксплуатацию.

Что на самом деле говорит запрос к реестру

Запрос к реестру возвращает выделенный блок и контакты, зарегистрированные для сети. Он не перечисляет службы, работающие на каждом адресе, и не говорит, какой арендатор отправил запрос. Даже небольшой зарегистрированный блок может содержать несвязанные рабочие нагрузки разных клиентов.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Разрешение имени хоста выхода даёт адреса, возвращённые в этот момент, то есть снимок, а не инвентаризацию. Расширение одного ответа на весь префикс хостинга — отдельное решение с более широким радиусом воздействия, а не более полная версия того же доказательства. Если вы используете поддерживаемый поток классификации, его метка является догадкой с известными ошибками в обе стороны. Это не аутентификация и не список людей.

Остановитесь, если предлагаемое правило обосновано только запросом. Снимок не является решением об охвате.

Общие выходы и сопутствующий ущерб

Общий выход обслуживает множество пользователей, и общее адресное пространство означает, что один публичный адрес может представлять целую группу абонентов. Его блокировка затрагивает всех, включая тех, кто не имеет отношения к злоупотреблениям. Расширение на окружающий префикс умножает этот эффект и повышает шанс задеть несвязанный сервис. Сопутствующий ущерб — не побочный эффект, который отмечают позже; это часть определения правила.

У доказательств из пакетов есть свои пределы. Адрес источника в одиночном SYN можно подделать, поэтому пакет не устанавливает, кто что начал. Состояние полуоткрытого соединения показывает, что началось рукопожатие, а не что противоположная сторона виновна в отражённой атаке. Завершённое соединение говорит не то же, что журнал приложения, а аутентифицированный сеанс называет учётную запись, которую не называет ни то, ни другое.

Выберите самый узкий охват, который допускает политика, и запишите, кого предполагается задеть по ошибке.

Доказательства, которые нужно записать, и путь возврата для пользователей

Каждое правило об адресе должно нести наблюдение, которое его обосновало, дату, охват и точку пересмотра. Именно эта запись позволяет следующему человеку сузить правило, а не гадать, зачем оно существует. Без неё временная блокировка становится постоянной инфраструктурой.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Решите, как законный пользователь вернёт доступ, прежде чем развернуть блокировку, потому что очередь поддержки — не план восстановления. Путь апелляции, документированное исключение или другой способ доступа работают; совет прекратить пользоваться VPN не работает. Свяжите сетевое правило с контролем, соответствующим поведению: ограничения скорости, более строгие права учётной записи или применение внутри самого сервиса. Блокировка выхода VPN может уменьшить нежелательный трафик, не притворяясь каталогом пользователей.

Симптом, который стоит держать в поле зрения, — это разрыв между тем, что делает правило, и тем, что люди считают, будто оно делает. Блокировка отказывает адресу. Учётная запись идентифицирует пользователя. Держите эти предложения отдельно в обращении, и следующее правило будет легче защитить.