Зашто блокирање VPN портова не зауставља неовлашћене тунеле

Правило заштитног зида одбија саобраћај на који се односи. Оно не одбија сваку употребу везе коју дозвољава, и управо у тој празнини пропада већина политика против неовлашћених тунела. Блокирање портова клијента који је био популаран пре пет година оставља нетакнуто све што иде преко 443, и не говори ништа о уређају који може да препише сопствене руте. Изградите контролу око овлашћења и дестинација, а затим читајте токове које заиста дозвољавате.

Зашто листа портова није политика

Портови су концепт транспортног слоја, и неколико технологија тунела их уопште не користи. Други намерно деле порт са обичним веб саобраћајем јер је тај порт онај који загарантовано пролази. Правило везано за историјски порт стога набраја неколико имплементација уместо класе понашања. Лоше и стари: у тренутку када провајдер промени подразумеване вредности, листа описује прошлост.

Још горе, успешно блокирање на једном порту може се прочитати као доказ да је цео проблем решен, што онда одлаже контроле које би биле важне.

Бројеви протокола и портови су различити именски простори

GRE-у је додељен број IP протокола 47. То није TCP порт 47 ни UDP порт 47, и филтер написан за порт не дотиче га. ESP и AH налазе се на бројевима протокола 50 и 51 са истим својством. Инкапсулирани саобраћај може се сакрити и унутар дозвољене везе, зато категорија или потпис може помоћи, али никада сам по себи не потврђује сврху. Поуздање и покривеност припадају одређеном производу и издању, а не концепту.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Прва наредба показује шта сте заиста написали; друга показује табелу протокола коју стек познаје; трећа показује колико сесија управо сада користи веб порт. Ниједна од њих не каже чему те сесије служе. Пресретање TLS-а је одвојена одлука са сопственим трошковима поверења, приватности и компатибилности са клијентима. Оно није предуслов за одбијање именоване дестинације и није ни гаранција препознавања тунела.

Контролишите овлашћења која уређај има

Уређај који може да промени сопствену табелу рутирања и филтрирање има могућности које обична апликација нема. Управљање пријемом и конфигурацијом је оно што уклања ту могућност, и делује независно од тога који би порт тунел користио.

То значи да одобрени прикључци добијају своју декларисану улогу уместо неограничене дозволе за прослеђивање за друге уређаје, и значи да су права за инсталацију и мрежну администрацију део политике уместо накнадна мисао.

Посматрајте токове који остају. Повежите идентитет уређаја, додељену улогу и метаподатке тока, и третирајте класификацију као доказ са ограничењима, а не као пресуду.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Дуготрајна шифрована сесија или велики број бајтова није доказ злоупотребе: резервне копије, алати за подршку и везе између локација изгледају исто. Ограничите прикупљање на истрагу и сачувајте оно што пронађете у оквиру процеса који то поседује.

Учините изузетке експлицитним

Свако окружење има дестинације које морају остати доступне за ажурирања, аутентификацију и опоравак. Запишите их са сврхом и власником, и прегледајте их уместо да их откривате један прекид по један.

Када предузеће заиста дозвољава широку спољну услугу, процените овлашћења која та услуга пружа уместо да претпоставите да ознака дестинације чини сваку употребу прихватљивом.

Непроверени изузетак је рупа са бројем захтева. Изузетак са именом, разлогом и датумом прегледа је одлука.

Прихватите са писаним планом, а не са слоганом

Прихватање има две половине: одобрени посао и даље успева, а конкретни забрањени случајеви падају на овлашћеном тесту. Оба треба написати пре промене и поновити после ње.

Укључите промене крајњих тачака и политике у тај преглед, јер рута додата на преносном рачунару може да поништи филтер који је савршено радио на ивици.

Резултат је сопствена излазна граница са познатом листом преосталог ризика. Тврдња да је неколико затворених портова окончало неовлашћену употребу VPN-а није то.