Bllokimi i një daljeje VPN bllokon një adresë, jo një person

Dikush shton adresën e daljes së një ofruesi VPN në një listë ndalimi, dhe abuzimi ndalon për një ditë. Pastaj një klient që përdor rastësisht të njëjtin ofrues hap një ticket, dhe rregulli rezulton më i gjerë se sa e përshkroi kushdo. Bllokimi ishte gjithmonë një vendim për një adresë; problemi është se u shit si vendim për një identitet. Ndani të dyja përpara se të shkruani rregullin e radhës.

Rregulli që mund të zbatoni ka të bëjë me një adresë burimore

Një rregull muri zjarri përputhet me një fushë në paketë, dhe fusha me të cilën përputheni është adresa burimore. Ai rregull mund të refuzojë në mënyrë të besueshme trafikun nga ajo adresë, që është një efekt real dhe i dobishëm. Por nuk mund t'ju thotë kush e dërgoi paketën, çfarë llogarie u përdor ose nëse është i njëjti person që shkaktoi problemin e djeshëm. Shkrimi i rregullit është i lehtë; përshkrimi i asaj që provon është vendi ku ekipet gabojnë.

Nëse qëllimi është ndalimi i një sjelljeje të caktuar, një rregull adrese është një mjet i topitur që ndodh të jetë i disponueshëm. Nëse qëllimi është identifikimi i një përdoruesi, adresa është prova e gabuar dhe vërtetimi i aplikacionit është prova e saktë. Vendosni cili është qëllimi juaj përpara se rregulli të hyjë në prodhim.

Çfarë ju thotë në të vërtetë një kërkim në regjistër

Një kërkim në regjistër kthen ndarjen dhe kontaktet e regjistruara për një rrjet. Nuk liston shërbimet që ekzekutohen në secilën adresë dhe nuk ju thotë cili qiradhënës dërgoi një kërkesë. Edhe një bllok i vogël i regjistruar mund të përmbajë ngarkesa pune të palidhura nga klientë të ndryshëm.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Zgjidhja e një emri hosti daljeje ju jep adresat e kthyera në atë moment, që është një fotografi dhe jo një inventar. Zgjerimi i një përgjigjeje në të gjithë prefiksin e hostimit është një vendim i veçantë me ndikim më të gjerë, jo një version më i plotë i së njëjtës provë. Nëse përdorni një burim klasifikimi të mirëmbajtur, etiketa e tij është një hamendje me gabime të njohura në të dy drejtimet. Nuk është vërtetim dhe nuk është listë njerëzish.

Ndaloni nëse rregulli i propozuar justifikohet vetëm nga një kërkim. Një fotografi nuk është vendim shtrirjeje.

Daljet e përbashkëta dhe dëmtimi kolateral

Një dalje e përbashkët mban shumë përdorues, dhe hapësirë adresash e përbashkët do të thotë që një adresë publike mund të përfaqësojë një grup të tërë abonentësh. Bllokimi i saj prek të gjithë, përfshirë ata pa asnjë lidhje me abuzimin. Zgjerimi në prefiksin përreth e shumëfishon atë efekt dhe rrit mundësinë që një shërbim i palidhur të kapet. Dëmtimi kolateral nuk është një efekt anësor për t'u shënuar më vonë; është pjesë e përkufizimit të rregullit.

Provat e paketave kanë kufijtë e tyre. Një adresë burimore në një SYN të izoluar mund të falsifikohet, kështu që paketa nuk përcakton kush filloi diçka. Një gjendje lidhjeje gjysmë e hapur tregon se filloi një shtrëngim duarsh, jo se pala tjetër është fajtore për një sulm reflektimi. Një lidhje e përfunduar thotë diçka ndryshe nga një regjistër aplikacioni, dhe një sesion i vërtetuar emërton një llogari që asnjëra prej tyre nuk e emërton.

Zgjidhni shtrirjen më të ngushtë që lejon politika, dhe shkruani kush pritet të kapet gabimisht.

Provat për t'u regjistruar dhe një rrugë kthimi për përdoruesit

Çdo rregull adrese duhet të mbajë vëzhgimin që e justifikoi, datën, shtrirjen dhe një pikë rishikimi. Ky regjistrim është ai që i lejon personit tjetër ta ngushtojë rregullin në vend që të hamendësojë pse ekziston. Pa të, një bllokim i përkohshëm bëhet infrastrukturë e përhershme.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Vendosni si një përdorues legjitim e rikuperon aksesin përpara se të vendosni bllokimin, sepse një radhë mbështetjeje nuk është plan rikuperimi. Një rrugë ankimi, një përjashtim i dokumentuar ose një metodë tjetër aksesi funksionojnë; t'u thuash njerëzve të ndalojnë përdorimin e VPN-së së tyre nuk funksionon. Çiftoni rregullin e rrjetit me kontrolle që i përshtaten sjelljes: kufizime shpejtësie, leje llogarie më të rrepta ose zbatim brenda vetë shërbimit. Një bllokim daljeje VPN mund të zvogëlojë trafikun e padëshiruar pa u shtirur si drejtori përdoruesish.

Simptomi që duhet mbajtur në sy është hendeku midis asaj që bën rregulli dhe asaj që njerëzit besojnë se bën. Një bllokim refuzon një adresë. Një llogari identifikon një përdorues. Mbani ato fjali të ndara në ticket, dhe rregulli i radhës do të jetë më i lehtë për t'u mbrojtur.