Блокирање VPN излаза блокира адресу, а не особу

Неко дода излазну адресу VPN провајдера на листу забрана и злоупотреба престане на дан. Затим корисник који случајно користи истог провајдера отвори тикет, и покаже се да је правило шире него што је ико описао. Блокада је одувек била одлука о адреси; проблем је што је продата као одлука о идентитету. Раздвојите то двоје пре него што напишете следеће правило.

Правило које можете спровести тиче се изворне адресе

Правило заштитног зида подудара поље у пакету, а поље које подударате је изворна адреса. То правило може поуздано да одбије саобраћај са те адресе, што је стваран и користан ефекат. Не може да вам каже ко је послао пакет, који је налог коришћен или да ли је то иста особа која је изазвала јучерашњи проблем. Написати правило је лако; описати шта оно доказује место је где тимови греше.

Ако је циљ заустављање одређеног понашања, правило о адреси је тупо оруђе које се једноставно нашло при руци. Ако је циљ идентификовање корисника, адреса је погрешан доказ, а аутентификација у апликацији прави. Одлучите који циљ имате пре него што правило оде у продукцију.

Шта вам упит у регистар заправо говори

Упит у регистар враћа додељени блок и контакте регистроване за мрежу. Не наводи услуге које раде на свакој адреси и не говори који је закупац послао захтев. Чак и мали регистровани блок може да садржи неповезана радна оптерећења различитих клијената.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Разрешавање имена излазног хоста даје адресе враћене у том тренутку, што је снимак, а не попис. Проширивање једног одговора на цео префикс хостинга је одвојена одлука са ширим дометом, а не потпунија верзија истих доказа. Ако користите одржаван ток класификације, његова ознака је нагађање са познатим грешкама у оба смера. То није аутентификација и није списак људи.

Зауставите се ако се предложено правило оправдава само упитом. Снимак није одлука о обиму.

Дељени излази и колатерална штета

Дељени излаз носи много корисника, а заједнички адресни простор значи да једна јавна адреса може да представља целу групу претплатника. Његово блокирање погађа све, укључујући оне без икакве везе са злоупотребом. Проширивање на околни префикс умножава тај ефекат и повећава шансу да буде захваћена неповезана услуга. Колатерална штета није споредни ефекат који се касније бележи; она је део дефиниције правила.

Докази из пакета имају сопствене границе. Изворна адреса у изолованом SYN-у може бити фалсификована, па пакет не утврђује ко је шта започео. Стање полуотворене везе показује да је руковање почело, а не да је друга страна крива за рефлексиони напад. Завршена веза говори нешто другачије од дневника апликације, а аутентификована сесија именује налог који ни једно од њих не именује.

Изаберите најужни обим који политика дозвољава и запишите кога се очекује да буде погођен грешком.

Докази које треба забележити и пут назад за кориснике

Свако правило о адреси треба да носи запажање које га је оправдало, датум, обим и тачку прегледа. Тај запис омогућава следећој особи да сузи правило уместо да нагађа зашто постоји. Без њега привремена блокада постаје трајна инфраструктура.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Одлучите како легитимни корисник враћа приступ пре него што примените блокаду, јер ред за подршку није план опоравка. Пут за жалбу, документовани изузетак или други начин приступа функционишу; савет да људи престану да користе VPN не функционише. Упарите мрежно правило са контролама које одговарају понашању: ограничења брзине, строже дозволе налога или спровођење унутар саме услуге. Блокада VPN излаза може да смањи нежељени саобраћај без претварања да је именик корисника.

Симптом који треба држати на уму је јаз између онога што правило ради и онога што људи верују да ради. Блокада одбија адресу. Налог идентификује корисника. Држите те реченице одвојено у тикету и следеће правило ће бити лакше одбранити.