Blokovanie výstupu VPN blokuje adresu, nie človeka

Niekto pridá výstupnú adresu poskytovateľa VPN na zoznam zákazov a zneužívanie sa na deň zastaví. Potom zákazník, ktorý náhodou používa toho istého poskytovateľa, otvorí tiket a pravidlo sa ukáže byť širšie, než ktokoľvek opísal. Blokovanie bolo vždy rozhodnutím o adrese; problém je, že sa predávalo ako rozhodnutie o identite. Oddeľte oboje, kým napíšete ďalšie pravidlo.

Pravidlo, ktoré môžete presadiť, sa týka zdrojovej adresy

Pravidlo firewallu zodpovedá poľu v pakete a pole, ktoré porovnávate, je zdrojová adresa. Také pravidlo dokáže spoľahlivo odmietnuť prevádzku z tejto adresy, čo je skutočný a užitočný účinok. Nedokáže vám však povedať, kto paket poslal, aký účet sa použil alebo či ide o toho istého človeka, ktorý spôsobil včerajší problém. Napísať pravidlo je ľahké; opísať, čo dokazuje, je miesto, kde tímy robia chyby.

Ak je cieľom zastaviť konkrétne správanie, adresné pravidlo je tupý nástroj, ktorý je práve poruke. Ak je cieľom identifikovať používateľa, adresa je nesprávny dôkaz a správny je autentifikácia v aplikácii. Rozhodnite sa, ktorý cieľ máte, kým pravidlo pôjde do produkcie.

Čo vám vyhľadanie v registri skutočne povie

Dopyt do registra vráti pridelenie a kontakty registrované pre sieť. Nevypisuje služby bežiace na jednotlivých adresách a nehovorí, ktorý nájomca požiadavku poslal. Aj malý registrovaný blok môže obsahovať nesúvisiace pracovné zaťaženia rôznych zákazníkov.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Preloženie názvu výstupného hostiteľa vám dá adresy vrátené v danom okamihu, čo je snímka, nie inventár. Rozšírenie jednej odpovede na celý hostingový prefix je samostatné rozhodnutie so širším dosahom, nie úplnejšia verzia toho istého dôkazu. Ak používate udržiavaný klasifikačný kanál, jeho označenie je odhad so známymi chybami v oboch smeroch. Nie je to autentifikácia a nie je to zoznam ľudí.

Zastavte sa, ak je navrhované pravidlo odôvodnené len dopytom. Snímka nie je rozhodnutie o rozsahu.

Zdieľané výstupy a vedľajšie škody

Zdieľaný výstup nesie veľa používateľov a zdieľaný adresný priestor znamená, že jedna verejná adresa môže zastupovať celú skupinu predplatiteľov. Jeho blokovanie postihne všetkých, vrátane tých, ktorí so zneužívaním nemajú nič spoločné. Rozšírenie na okolitý prefix tento účinok násobí a zvyšuje šancu, že zasiahne nesúvisiacu službu. Vedľajšia škoda nie je vedľajší efekt, ktorý sa pozná neskôr; je súčasťou definície pravidla.

Dôkazy z paketov majú svoje hranice. Zdrojovú adresu v izolovanom SYN možno sfalšovať, takže paket nepreukazuje, kto čo začal. Stav napoly otvoreného spojenia ukazuje, že sa začalo nadväzovanie, nie že protistrana je vinná reflexným útokom. Dokončené spojenie hovorí niečo iné ako log aplikácie a autentifikovaná relácia pomenúva účet, ktorý ani jedno z nich neuvádza.

Zvoľte najužší rozsah, ktorý politika dovoľuje, a zapíšte, kto má byť zasiahnutý omylom.

Dôkazy na zaznamenanie a cesta späť pre používateľov

Každé adresné pravidlo by malo niesť pozorovanie, ktoré ho odôvodnilo, dátum, rozsah a bod revízie. Práve tento záznam umožňuje ďalšiemu človeku pravidlo zúžiť, namiesto aby hádal, prečo existuje. Bez neho sa dočasná blokácia stane trvalou infraštruktúrou.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Rozhodnite, ako legitímny používateľ získa prístup späť, ešte pred nasadením blokácie, pretože front podpory nie je plán obnovy. Odvolacia cesta, zdokumentovaná výnimka alebo iný spôsob prístupu fungujú; povedať ľuďom, aby prestali používať VPN, nefunguje. Spojte sieťové pravidlo s kontrolami, ktoré zodpovedajú správaniu: limity rýchlosti, prísnejšie oprávnenia účtu alebo presadzovanie vnútri samotnej služby. Blokácia výstupu VPN môže znížiť nežiaducu prevádzku bez toho, aby sa vydávala za adresár používateľov.

Symptóm, ktorý treba mať na očiach, je rozdiel medzi tým, čo pravidlo robí, a tým, čo si ľudia myslia, že robí. Blokácia odmieta adresu. Účet identifikuje používateľa. Držte tie vety v tikete oddelene a ďalšie pravidlo sa bude ľahšie obhajovať.