Pse bllokimi i portave VPN nuk i ndalon tunelet e paautorizuara

Një rregull i murit të zjarrit refuzon trafikun me të cilin përputhet. Ai nuk refuzon çdo përdorim të një lidhjeje që lejon, dhe pikërisht në këtë boshllëk dështojnë shumica e politikave kundër tuneleve të paautorizuara. Bllokimi i portave të klientit që ishte popullor pesë vjet më parë lë të paprekur gjithçka që kalon nëpër 443, dhe nuk thotë asgjë për një pajisje që mund të rishkruajë rrugët e veta. Ndërtoni kontrollin rreth autoritetit dhe destinacioneve, dhe pastaj lexoni flukset që lejoni vërtet.

Pse një listë portash nuk është politikë

Portat janë një koncept i shtresës së transportit, dhe disa teknologji tuneli nuk përdorin fare. Të tjerë ndajnë qëllimisht një portë me trafikun e zakonshëm të uebit, sepse ajo portë është ajo që kalon me garanci. Një rregull i bazuar në një portë historike rendit pra një grusht implementimesh në vend të klasës së sjelljes. Ai plaket gjithashtu keq: në momentin që një ofrues ndryshon vlerat e paracaktuara, lista përshkruan të shkuarën.

Edhe më keq, një bllokim i suksesshëm në një portë mund të lexohet si provë që i gjithë problemi është zgjidhur, gjë që pastaj vonon kontrollet që do të kishin rëndësi.

Numrat e protokollit dhe portat janë hapësira të ndryshme emrash

GRE-s i është caktuar numri i protokollit IP 47. Nuk është porta TCP 47 dhe nuk është porta UDP 47, dhe një filtër i shkruar për një portë nuk e prek atë. ESP dhe AH qëndrojnë në numrat e protokollit 50 dhe 51 me të njëjtën veti. Trafiku i inkapsuluar mund të fshihet edhe brenda një lidhjeje të lejuar, prandaj një kategori ose nënshkrim mund të ndihmojë, por kurrë nuk e vërteton qëllimin më vete. Besimi dhe mbulimi i përkasin një produkti dhe një versioni të caktuar, jo konceptit.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Komanda e parë tregon çfarë keni shkruar vërtet; e dyta tregon tabelën e protokollit që njeh stivi; e treta tregon sa sesione po përdorin portën e uebit tani. Asnjëra prej tyre nuk thotë për çfarë janë ato sesione. Përgjimi i TLS është një vendim i veçantë me kosto të vetat për besimin, privatësinë dhe përputhshmërinë me klientët. Ai nuk është parakusht për të refuzuar një destinacion të emërtuar dhe nuk është as garanci për njohjen e tuneleve.

Kontrolloni autoritetin që ka pajisja

Një pajisje që mund të ndryshojë tabelën e vet të rrugëtimit dhe filtrimin ka aftësi që një aplikacion i zakonshëm nuk i ka. Menaxhimi i pranimit dhe konfigurimit është ai që e heq atë aftësi, dhe vepron pavarësisht se cilën portë do të përdorte tuneli.

Kjo do të thotë që lidhjet e miratuara marrin rolin e tyre të deklaruar në vend të lejes së pakufizuar për të përcjellë për pajisje të tjera, dhe do të thotë që të drejtat e instalimit dhe të administrimit të rrjetit janë pjesë e politikës në vend të një mendimi të mëvonshëm.

Vëzhgoni flukset që mbeten. Korreloni identitetin e pajisjes, rolin e caktuar dhe metadatat e fluksit, dhe trajtojeni klasifikimin si provë me kufizime, jo si verdikt.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Një sesion i gjatë i kriptuar ose një numër i madh bajtësh nuk është provë e keqpërdorimit: kopjet rezervë, mjetet e mbështetjes dhe lidhjet midis lokacioneve duken njësoj. Mbani mbledhjen të kufizuar në hetim dhe ruani atë që gjeni nën procesin që e zotëron atë.

Bëni përjashtimet të qarta

Çdo mjedis ka destinacione që duhet të mbeten të arritshme për përditësime, vërtetim dhe rikuperim. Shkruajini ato me një qëllim dhe një pronar, dhe rishikojini në vend që t'i zbuloni një ndërprerje në një kohë.

Kur biznesi lejon vërtet një shërbim të gjerë të jashtëm, vlerësoni autoritetin që ai shërbim ofron në vend që të supozoni se etiketa e destinacionit e bën çdo përdorim të pranueshëm.

Një përjashtim i parishikuar është një vrimë me një numër bilete. Një përjashtim me emër, arsye dhe datë rishikimi është një vendim.

Pranoni me një plan të shkruar, jo me një slogan

Pranimi ka dy gjysma: puna e miratuar vazhdon të ketë sukses, dhe rastet specifike të ndaluara dështojnë në një test të autorizuar. Të dyja duhet të shkruhen para ndryshimit dhe të përsëriten pas tij.

Përfshini ndryshimet e pikave fundore dhe të politikës në atë rishikim, sepse një rrugë e shtuar në një laptop mund të zhbëjë një filtër që funksiononte në mënyrë të përsosur në buzë.

Rezultati është një kufi daljeje i zotëruar me një listë të njohur të rrezikut të mbetur. Të pohuarit se disa porta të mbyllura i dhanë fund përdorimit të paautorizuar të VPN nuk është kjo.