Blokiranje izhoda VPN blokira naslov, ne osebo

Nekdo doda izhodni naslov ponudnika VPN na seznam prepovedi in zloraba se za en dan ustavi. Nato uporabnik, ki slučajno uporablja istega ponudnika, odpre zahtevek in pravilo se izkaže za širše, kot je kdo opisal. Blokada je bila vedno odločitev o naslovu; težava je, da je bila prodana kot odločitev o identiteti. Ločite oboje, preden napišete naslednje pravilo.

Pravilo, ki ga lahko uveljavite, zadeva izvorni naslov

Pravilo požarnega zidu se ujema s poljem v paketu, in polje, s katerim se ujemate, je izvorni naslov. To pravilo lahko zanesljivo zavrne promet s tega naslova, kar je resničen in koristen učinek. Ne more pa vam povedati, kdo je poslal paket, kateri račun je bil uporabljen ali ali je to ista oseba, ki je povzročila včerajšnjo težavo. Napisati pravilo je enostavno; opisati, kaj dokazuje, je mesto, kjer se ekipe zmotijo.

Če je cilj ustaviti določeno vedenje, je pravilo o naslovu topo orodje, ki je slučajno pri roki. Če je cilj prepoznati uporabnika, je naslov napačen dokaz, pravi pa je avtentikacija v aplikaciji. Odločite se, kateri cilj imate, preden pravilo pride v produkcijo.

Kaj vam poizvedba v register v resnici pove

Poizvedba v register vrne dodelitev in kontakte, registrirane za omrežje. Ne našteva storitev, ki tečejo na posameznem naslovu, in ne pove, kateri najemnik je poslal zahtevo. Tudi majhen registriran blok lahko vsebuje nepovezane delovne obremenitve različnih strank.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Razrešitev imena izhodnega gostitelja vam da naslove, vrnjene v tistem trenutku, kar je posnetek in ne popis. Razširitev enega odgovora na celotno predpono gostovanja je ločena odločitev s širšim dosegom, ne popolnejša različica istega dokaza. Če uporabljate vzdrževan tok klasifikacije, je njegova oznaka ugibanje z znanimi napakami v obe smeri. To ni avtentikacija in ni seznam ljudi.

Ustavite se, če je predlagano pravilo utemeljeno samo s poizvedbo. Posnetek ni odločitev o obsegu.

Skupni izhodi in stranska škoda

Skupni izhod nosi veliko uporabnikov in skupni naslovni prostor pomeni, da lahko en javni naslov predstavlja celo skupino naročnikov. Njegova blokada prizadene vse, tudi tiste brez povezave z zlorabo. Razširitev na okoliško predpono ta učinek pomnoži in poveča možnost, da bo zajeta nepovezana storitev. Stranska škoda ni stranski učinek, ki ga zabeležimo pozneje; je del opredelitve pravila.

Dokazi iz paketov imajo svoje meje. Izvorni naslov v izoliranem SYN je mogoče ponarediti, zato paket ne ugotavlja, kdo je kaj začel. Stanje napol odprte povezave kaže, da se je začel rokovanje, ne da je nasprotna stran kriva za odbojni napad. Končana povezava pove nekaj drugega kot dnevnik aplikacije, avtentificirana seja pa imenuje račun, ki ga nobeno od njiju ne imenuje.

Izberite najožji obseg, ki ga politika dovoljuje, in zapišite, koga naj bi zadeli po pomoti.

Dokazi, ki jih je treba zabeležiti, in pot nazaj za uporabnike

Vsako pravilo o naslovu mora nositi opažanje, ki ga je utemeljilo, datum, obseg in točko pregleda. Ta zapis je tisto, kar naslednji osebi omogoči, da pravilo zoži, namesto da bi ugibala, zakaj obstaja. Brez njega začasna blokada postane trajna infrastruktura.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Odločite, kako zakonit uporabnik povrne dostop, preden uvedete blokado, ker čakalna vrsta podpore ni načrt obnovitve. Pritožbena pot, dokumentirana izjema ali drugačen način dostopa delujejo; nasvet, naj ljudje prenehajo uporabljati VPN, ne deluje. Povežite omrežno pravilo s kontrolami, ki ustrezajo vedenju: omejitve hitrosti, strožja dovoljenja računa ali izvajanje znotraj same storitve. Blokada izhoda VPN lahko zmanjša neželen promet, ne da bi se izdajala za imenik uporabnikov.

Simptom, ki ga velja imeti pred očmi, je vrzel med tem, kar pravilo počne, in tem, kar ljudje verjamejo, da počne. Blokada zavrne naslov. Račun prepozna uporabnika. Te stavke držite v zahtevku ločeno in naslednje pravilo bo lažje braniti.