Att blockera en VPN-utgång blockerar en adress, inte en person

Någon lägger en VPN-leverantörs uttagsadress på en blockeringslista, och missbruket upphör i en dag. Sedan skickar en kund som råkar använda samma leverantör in ett ärende, och regeln visar sig vara bredare än någon beskrev. Blockeringen har alltid varit ett beslut om en adress; problemet är att den såldes som ett beslut om en identitet. Separera de två innan du skriver nästa regel.

Regeln du kan upprätthålla handlar om en källadress

En brandväggsregel matchar ett fält i ett paket, och fältet du matchar är källadressen. Den regeln kan pålitligt neka trafik från den adressen, vilket är en verklig och användbar effekt. Den kan inte berätta vem som skickade paketet, vilket konto som användes eller om det är samma person som orsakade gårdagens problem. Att skriva regeln är enkelt; att beskriva vad den bevisar är där teamen gör fel.

Om målet är att stoppa ett visst beteende är en adressregel ett trubbigt verktyg som råkar vara tillgängligt. Om målet är att identifiera en användare är adressen fel bevis och applikationens autentisering det rätta. Bestäm vilket mål du har innan regeln går i produktion.

Vad ett registeruppslag faktiskt säger dig

Ett registeruppslag returnerar tilldelningen och de kontakter som är registrerade för ett nätverk. Det listar inte tjänsterna som körs på varje adress och säger inte vilken hyresgäst som skickade en begäran. Även ett litet registrerat block kan innehålla orelaterade arbetsbelastningar från olika kunder.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Att slå upp ett utgångsvärdnamn ger dig de adresser som returnerades i det ögonblicket, vilket är en ögonblicksbild och inte en inventering. Att utöka ett svar till hela hostingprefixet är ett separat beslut med bredare effekt, inte en mer fullständig version av samma bevis. Om du använder en underhållen klassificeringsfeed är dess etikett en gissning med kända fel i båda riktningarna. Det är inte autentisering och inte en lista över personer.

Stoppa om den föreslagna regeln bara motiveras av ett uppslag. En ögonblicksbild är inte ett omfångsbeslut.

Delade utgångar och följdskador

En delad utgång bär många användare, och delat adressutrymme betyder att en offentlig adress kan representera en hel grupp abonnenter. Att blockera den drabbar alla, även de utan koppling till missbruket. Att utöka till det omgivande prefixet mångdubblar effekten och ökar risken att en orelaterad tjänst träffas. Följdskadan är inte en bieffekt att notera senare; den är en del av regelns definition.

Paketbevis har sina egna gränser. En källadress i en isolerad SYN kan förfalskas, så paketet fastställer inte vem som startade något. Ett halvöppet anslutningstillstånd visar att ett handskakning började, inte att motparten är skyldig till en reflektionsattack. En avslutad anslutning säger något annat än en applikationslogg, och en autentiserad session namnger ett konto som ingen av dem namnger.

Välj det snävaste omfång som policyn tillåter, och skriv ner vem som förväntas drabbas av misstag.

Bevis att notera, och en väg tillbaka för användare

Varje adressregel bör bära den observation som motiverade den, datumet, omfånget och en granskningspunkt. Det är den dokumentationen som gör det möjligt för nästa person att minska regeln i stället för att gissa varför den finns. Utan den blir en tillfällig blockering permanent infrastruktur.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Bestäm hur en legitim användare återfår åtkomst innan du rullar ut blockeringen, eftersom en supportkö inte är en återställningsplan. En överklagandeväg, ett dokumenterat undantag eller en annan åtkomstmetod fungerar; att säga åt folk att sluta använda sin VPN fungerar inte. Koppla nätverksregeln till kontroller som passar beteendet: hastighetsgränser, strängare kontobehörigheter eller tillämpning inne i själva tjänsten. En VPN-utgångsblockering kan minska oönskad trafik utan att låtsas vara en användarkatalog.

Symtomet du bör hålla ögonen på är gapet mellan vad regeln gör och vad folk tror att den gör. En blockering nekar en adress. Ett konto identifierar en användare. Håll de meningarna åtskilda i ärendet, och nästa regel blir lättare att försvara.