Zakaj blokiranje vrat VPN ne ustavi nepooblaščenih tunelov

Pravilo požarnega zidu zavrne promet, na katerega se nanaša. Ne zavrne pa vsake uporabe povezave, ki jo dovoli, in prav v tej vrzeli odpove večina politik proti nepooblaščenim tunelom. Blokiranje vrat odjemalca, ki je bil priljubljen pred petimi leti, pusti nedotaknjeno vse, kar gre skozi 443, in ne pove ničesar o napravi, ki lahko prepiše svoje lastne poti. Nadzor zgradite okoli pooblastil in ciljev, nato pa berite tokove, ki jih dejansko dovoljujete.

Zakaj seznam vrat ni politika

Vrata so koncept transportnega sloja in več tehnologij tunelov jih sploh ne uporablja. Druge namenoma delijo vrata z običajnim spletnim prometom, ker so ta vrata tista, ki zagotovljeno preidejo. Pravilo, vezano na zgodovinska vrata, zato našteva peščico izvedb namesto razreda vedenja. Slabo se tudi stara: v trenutku, ko ponudnik spremeni privzete vrednosti, seznam opisuje preteklost.

Še huje, uspešna blokada na enih vratih se lahko bere kot dokaz, da je celoten problem rešen, kar nato odloži nadzore, ki bi bili pomembni.

Številke protokolov in vrata so različni imenski prostori

GRE ima dodeljeno številko IP protokola 47. To niso TCP vrata 47 in ne UDP vrata 47, in filter, napisan za vrata, se jih ne dotakne. ESP in AH ležita na številkah protokolov 50 in 51 z isto lastnostjo. Zapakiran promet se lahko skrije tudi znotraj dovoljene povezave, zato lahko kategorija ali podpis pomaga, a nikoli sam po sebi ne potrdi namena. Zaupanje in pokritost pripadata določenemu izdelku in izdaji, ne konceptu.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Prvi ukaz pokaže, kaj ste dejansko napisali; drugi pokaže tabelo protokolov, ki jo pozna sklad; tretji pokaže, koliko sej trenutno uporablja spletna vrata. Noben od njih ne pove, čemu te seje služijo. Prestrezanje TLS je ločena odločitev z lastnimi stroški zaupanja, zasebnosti in združljivosti z odjemalci. Ni pogoj za zavrnitev imenovanega cilja in ni niti jamstvo za prepoznavanje tunelov.

Nadzorujte pooblastila, ki jih ima naprava

Naprava, ki lahko spremeni svojo usmerjevalno tabelo in filtriranje, ima zmožnosti, ki jih običajna aplikacija nima. Upravljanje sprejema in konfiguracije je tisto, kar to zmožnost odstrani, in deluje ne glede na to, katera vrata bi tunel uporabil.

To pomeni, da odobrene priključitve dobijo svojo deklarirano vlogo namesto neomejenega dovoljenja za posredovanje za druge naprave, in pomeni, da so pravice za namestitev in upravljanje omrežja del politike namesto naknadna misel.

Opazujte tokove, ki ostanejo. Povežite identiteto naprave, dodeljeno vlogo in metapodatke toka, razvrščanje pa obravnavajte kot dokaz z omejitvami, ne kot razsodbo.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Dolgotrajna šifrirana seja ali veliko število bajtov ni dokaz zlorabe: varnostne kopije, orodja za podporo in povezave med lokacijami so videti enako. Zbiranje omejite na preiskavo in shranite, kar najdete, v okviru procesa, ki mu to pripada.

Izrecno navedite izjeme

Vsako okolje ima cilje, ki morajo ostati dosegljivi za posodobitve, preverjanje pristnosti in obnovitev. Zapišite jih z namenom in lastnikom ter jih pregledujte, namesto da bi jih odkrivali eno prekinitev za drugo.

Ko podjetje resnično dovoli široko zunanjo storitev, ocenite pooblastila, ki jih ta storitev zagotavlja, namesto da predpostavite, da oznaka cilja naredi vsako uporabo sprejemljivo.

Nepregledana izjema je luknja s številko zahtevka. Izjema z imenom, razlogom in datumom pregleda je odločitev.

Sprejmite s pisnim načrtom, ne s sloganom

Sprejem ima dve polovici: odobreno delo še vedno uspe in konkretni prepovedani primeri odpovejo na pooblaščenem preizkusu. Oboje je treba napisati pred spremembo in ponoviti po njej.

V ta pregled vključite spremembe končnih točk in politike, ker lahko pot, dodana na prenosnemu računalniku, razveljavi filter, ki je na obrobju deloval brezhibno.

Rezultat je lastna izhodna meja z znanim seznamom preostalega tveganja. Trditev, da je nekaj zaprtih vrat končalo nepooblaščeno uporabo VPN, ni to.