Kwa nini kuzuia bandari za VPN hakuwezi kusimamisha tuneli zisizoruhusiwa

Kanuni ya ngome ya moto hukataa trafiki inayolingana nayo. Haikatai kila matumizi ya muunganisho inaouruhusu, na katika pengo hili ndipo sera nyingi dhidi ya tuneli zisizoruhusiwa hushindwa. Kuzuia bandari za mteja aliyekuwa maarufu miaka mitano iliyopita huacha kila kitu kinachopita kwenye 443 bila kuguswa, na haisemi chochote kuhusu kifaa kinachoweza kuandika upya njia zake. Jenga udhibiti kuzunguka mamlaka na maeneo, kisha soma mitiririko unayoiruhusu kwa kweli.

Kwa nini orodha ya bandari si sera

Bandari ni dhana ya tabaka la usafirishaji, na teknolojia kadhaa za tuneli hazitumii hata moja. Nyingine hushiriki bandari kwa makusudi na trafiki ya kawaida ya wavuti, kwa sababu bandari hiyo ndiyo inayohakikishwa kupita. Kwa hiyo kanuni inayotegemea bandari ya kihistoria huorodhesha utekelezaji wachache badala ya tabaka la tabia. Pia huzeeka vibaya: mara tu mtoa huduma anapobadilisha chaguo-msingi, orodha inaelezea zamani.

Mbaya zaidi, kuzuia kwa mafanikio bandari moja kunaweza kusomwa kama uthibitisho kwamba tatizo lote limetatuliwa, jambo ambalo huchelewesha udhibiti ambao ungekuwa muhimu.

Namba za itifaki na bandari ni nafasi tofauti za majina

GRE imepewa namba ya itifaki ya IP 47. Siyo bandari ya TCP 47 na siyo bandari ya UDP 47, na kichujio kilichoandikwa kwa bandari hakigusi. ESP na AH ziko kwenye namba za itifaki 50 na 51 zenye sifa hiyo hiyo. Trafiki iliyofungwa inaweza pia kujificha ndani ya muunganisho ulioruhusiwa, ndiyo sababu aina au sahihi inaweza kusaidia lakini haithibitishi madhumuni yenyewe. Imani na ufikiaji ni vya bidhaa na toleo mahususi, si vya dhana.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Amri ya kwanza inaonyesha ulichoandika kwa kweli; ya pili inaonyesha jedwali la itifaki ambalo mrundikano unaifahamu; ya tatu inaonyesha vikao vingapi vinatumia bandari ya wavuti sasa hivi. Hakuna hata moja inayosema vikao hivyo ni vya nini. Kunasa TLS ni uamuzi tofauti wenye gharama zake za imani, faragha na upatanishi wa mteja. Si sharti la kukataa eneo lililotajwa, na pia si uhakikisho wa kutambua tuneli.

Dhibiti mamlaka aliyonayo kifaa

Kifaa kinachoweza kubadilisha jedwali lake la uelekezaji na uchujaji wake kina uwezo ambao programu ya kawaida haina. Usimamizi wa uandikishaji na usanidi ndio unaoondoa uwezo huo, na hufanya kazi bila kujali bandari ambayo tuneli ingetumia.

Hiyo inamaanisha kwamba viungo vilivyoidhinishwa hupata jukumu lao lililotangazwa badala ya ruhusa isiyo na kikomo ya kusambaza kwa vifaa vingine, na inamaanisha kwamba haki za usakinishaji na usimamizi wa mtandao ni sehemu ya sera badala ya wazo la baadaye.

Angalia mitiririko inayobaki. Unganisha utambulisho wa kifaa, jukumu lililopewa na metadata ya mtiririko, na chukulia uainishaji kama ushahidi wenye mipaka badala ya hukumu.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Kikao cha muda mrefu kilichosimbwa au idadi kubwa ya baiti si uthibitisho wa matumizi mabaya: nakala rudufu, zana za msaada na viungo kati ya maeneo huonekana sawa. Weka ukusanyaji ndani ya uchunguzi na huhifadhi unachopata chini ya mchakato unaomiliki.

Fanya istisno ziwe wazi

Kila mazingira yana maeneo ambayo lazima yabaki yakifikiwa kwa ajili ya masasisho, uthibitishaji na urejeshaji. Yaandike pamoja na madhumuni na mmiliki, na yapitie badala ya kuyagundua tatizo moja baada ya jingine.

Wakati biashara inaruhusu kwa kweli huduma pana ya nje, tathmini mamlaka ambayo huduma hiyo hutoa badala ya kudhani kwamba lebo ya eneo hufanya kila matumizi yakubalike.

Istisno lisilopitiwa ni shimo lenye namba ya tiketi. Istisno lenye jina, sababu na tarehe ya mapitio ni uamuzi.

Kubali kwa mpango ulioandikwa, si kwa kaulimbiu

Kukubali kuna nusu mbili: kazi iliyoidhinishwa bado inafanikiwa, na kesi mahususi zilizokatazwa hushindwa katika jaribio lililoidhinishwa. Zote mbili lazima ziandikwe kabla ya mabadiliko na zirudiwe baada yake.

Jumuisha mabadiliko ya sehemu ya mwisho na sera katika mapitio hayo, kwa sababu njia iliyoongezwa kwenye kompyuta mpakato inaweza kubatilisha kichujio kilichokuwa kikifanya kazi kikamilifu ukingoni.

Matokeo ni mpaka wa kutoka unaomilikiwa na orodha inayojulikana ya hatari iliyobaki. Kudai kwamba bandari chache zilizofungwa zilimaliza matumizi ya VPN yasiyoruhusiwa si hiyo.