VPN போர்ட்களைத் தடுப்பது அங்கீகரிக்கப்படாத சுரங்கங்களை நிறுத்தாதது ஏன்

ஃபயர்வால் விதி தான் பொருந்தும் போக்குவரத்தை மறுக்கிறது. அது அனுமதிக்கும் இணைப்பின் ஒவ்வொரு பயன்பாட்டையும் மறுக்காது, அங்கீகரிக்கப்படாத சுரங்கங்களுக்கு எதிரான பெரும்பாலான கொள்கைகள் இந்த இடைவெளியில்தான் தோல்வியடைகின்றன. ஐந்து ஆண்டுகளுக்கு முன்பு பிரபலமாக இருந்த வாடிக்கையாளரின் போர்ட்களைத் தடுப்பது 443 வழியாகச் செல்லும் அனைத்தையும் தொடாமல் விடுகிறது, தன் சொந்த வழிகளை மீண்டும் எழுதக்கூடிய சாதனத்தைப் பற்றி எதுவும் சொல்லவில்லை. கட்டுப்பாட்டை அதிகாரம் மற்றும் இலக்குகளைச் சுற்றி கட்டி, பின்னர் நீங்கள் உண்மையில் அனுமதிக்கும் ஓட்டங்களைப் படியுங்கள்.

போர்ட் பட்டியல் ஏன் கொள்கை அல்ல

போர்ட்கள் போக்குவரத்து அடுக்கின் கருத்து, சில சுரங்கத் தொழில்நுட்பங்கள் அவற்றைப் பயன்படுத்தவே இல்லை. மற்றவை சாதாரண வலைப் போக்குவரத்துடன் ஒரு போர்ட்டை வேண்டுமென்றே பங்கிடுகின்றன, ஏனெனில் அந்தப் போர்ட்டுதான் உறுதியாகக் கடக்கும். எனவே வரலாற்றுப் போர்ட்டை அடிப்படையாகக் கொண்ட விதி நடத்தை வகுப்பை அல்ல, சில செயலாக்கங்களை எண்ணுகிறது. அது விரைவில் பழையதாகவும் ஆகும்: ஒரு வழங்குநர் இயல்புநிலைகளை மாற்றிய தருணத்தில் பட்டியல் கடந்த காலத்தை விவரிக்கிறது.

அதைவிட மோசமானது, ஒரு போர்ட்டின் வெற்றிகரமான தடுப்பு முழுப் பிரச்சினையும் தீர்ந்ததற்கான ஆதாரமாகப் படிக்கப்படலாம், இது முக்கியமான கட்டுப்பாடுகளைத் தாமதப்படுத்துகிறது.

நெறிமுறை எண்களும் போர்ட்களும் வெவ்வேறு பெயர்வெளிகள்

GRE க்கு IP நெறிமுறை எண் 47 ஒதுக்கப்பட்டுள்ளது. அது TCP போர்ட் 47 அல்ல, UDP போர்ட் 47 அல்ல, ஒரு போர்ட்டுக்காக எழுதப்பட்ட வடிகட்டி அதைத் தொடாது. ESP மற்றும் AH அதே பண்புடன் நெறிமுறை எண்கள் 50 மற்றும் 51 இல் உள்ளன. இணைக்கப்பட்ட போக்குவரத்து அனுமதிக்கப்பட்ட இணைப்பின் உள்ளேயும் மறைந்திருக்கலாம், எனவே ஒரு வகை அல்லது கையொப்பம் உதவலாம், ஆனால் தனியாக ஒருபோதும் நோக்கத்தை உறுதிப்படுத்தாது. நம்பிக்கையும் பரப்பும் குறிப்பிட்ட தயாரிப்பு மற்றும் வெளியீட்டுக்குரியது, கருத்துக்கு அல்ல.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

முதல் கட்டளை நீங்கள் உண்மையில் எழுதியதைக் காட்டுகிறது; இரண்டாவது அடுக்கு அறிந்த நெறிமுறை அட்டவணையைக் காட்டுகிறது; மூன்றாவது இப்போது எத்தனை அமர்வுகள் வலைப் போர்ட்டைப் பயன்படுத்துகின்றன என்பதைக் காட்டுகிறது. அவற்றில் எதுவும் அந்த அமர்வுகள் எதற்கானவை என்று சொல்லவில்லை. TLS தடுத்தல் என்பது நம்பிக்கை, தனியுரிமை மற்றும் வாடிக்கையாளர் இணக்கத்திற்கான சொந்தச் செலவுடைய தனி முடிவு. அது பெயரிடப்பட்ட இலக்கை மறுப்பதற்கான முன்நிபந்தனை அல்ல, சுரங்கங்களை அடையாளம் காண்பதற்கான உத்தரவாதமும் அல்ல.

சாதனத்திற்கு உள்ள அதிகாரத்தைக் கட்டுப்படுத்துங்கள்

தன் சொந்த வழியமைப்பு அட்டவணையையும் வடிகட்டலையும் மாற்றக்கூடிய சாதனத்திற்கு சாதாரண பயன்பாட்டிற்கு இல்லாத திறன்கள் உள்ளன. அனுமதி மற்றும் உள்ளமைவு மேலாண்மையே அந்தத் திறனை நீக்குகிறது, சுரங்கம் எந்தப் போர்ட்டைப் பயன்படுத்தினாலும் அது செயல்படுகிறது.

இதன் பொருள் அங்கீகரிக்கப்பட்ட இணைப்புகள் மற்ற சாதனங்களுக்காக அனுப்புவதற்கான வரம்பற்ற அனுமதிக்குப் பதிலாக தங்கள் அறிவிக்கப்பட்ட பங்கைப் பெறுகின்றன, மேலும் நிறுவல் மற்றும் வலையமைப்பு நிர்வாக உரிமைகள் கொள்கையின் பகுதி, பின்னர் யோசனை அல்ல.

எஞ்சியிருக்கும் ஓட்டங்களைக் கவனியுங்கள். சாதன அடையாளம், ஒதுக்கப்பட்ட பங்கு மற்றும் ஓட்ட மேல்தரவைத் தொடர்புபடுத்தி, வகைப்படுத்தலை வரம்புகளுடைய ஆதாரமாகக் கருதுங்கள், தீர்ப்பாக அல்ல.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

நீண்டகால மறையாக்கப்பட்ட அமர்வு அல்லது பெரிய பைட் எண்ணிக்கை தவறான பயன்பாட்டிற்கான ஆதாரம் அல்ல: காப்புப்பிரதிகள், ஆதரவுக் கருவிகள் மற்றும் தள இணைப்புகள் ஒரே மாதிரியாகத் தெரிகின்றன. சேகரிப்பை விசாரணைக்குள் வரம்பிடுங்கள், கண்டறிந்ததை அதைச் சொந்தமாகக் கொண்ட செயல்முறையின் கீழ் வைத்திருங்கள்.

விதிவிலக்குகளை வெளிப்படையாக்குங்கள்

ஒவ்வொரு சூழலிலும் புதுப்பிப்புகள், அங்கீகாரம் மற்றும் மீட்புக்காக அணுகக்கூடியதாக இருக்க வேண்டிய இலக்குகள் உள்ளன. அவற்றை நோக்கம் மற்றும் பொறுப்பாளருடன் எழுதி, ஒவ்வொரு தடங்கலிலும் கண்டுபிடிப்பதற்குப் பதிலாக அவற்றை மதிப்பாய்வு செய்யுங்கள்.

வணிகம் உண்மையில் பரந்த வெளிப்புற சேவையை அனுமதிக்கும்போது, இலக்கு லேபிள் ஒவ்வொரு பயன்பாட்டையும் ஏற்றுக்கொள்ளக்கூடியதாக்குகிறது என்று கருதுவதற்குப் பதிலாக அந்தச் சேவை வழங்கும் அதிகாரத்தை மதிப்பிடுங்கள்.

மதிப்பாய்வு செய்யப்படாத விதிவிலக்கு டிக்கெட் எண்ணுடைய துளை. பெயர், காரணம் மற்றும் மதிப்பாய்வு தேதியுடைய விதிவிலக்கு ஒரு முடிவு.

கோஷமல்ல, எழுத்துப்பூர்வ திட்டத்துடன் ஏற்றுக்கொள்ளுங்கள்

ஏற்றுக்கொள்வதில் இரண்டு பாதிகள் உள்ளன: அங்கீகரிக்கப்பட்ட வேலை இன்னும் வெற்றிபெறுகிறது, குறிப்பிட்ட தடைசெய்யப்பட்ட நிகழ்வுகள் அதிகாரமளிக்கப்பட்ட சோதனையில் தோல்வியடைகின்றன. இரண்டையும் மாற்றத்திற்கு முன் எழுதி, அதன் பின் மீண்டும் செய்ய வேண்டும்.

அந்த மதிப்பாய்வில் முனைப்புள்ளி மற்றும் கொள்கை மாற்றங்களைச் சேர்க்கவும், ஏனெனில் மடிக்கணினியில் சேர்க்கப்பட்ட ஒரு வழி விளிம்பில் சரியாக வேலை செய்த வடிகட்டியை ரத்து செய்யலாம்.

விளைவு என்பது மீதமுள்ள ஆபத்தின் அறியப்பட்ட பட்டியலுடன் கூடிய உரிமையுடைய வெளியேற்ற எல்லை. சில மூடிய போர்ட்கள் அங்கீகரிக்கப்படாத VPN பயன்பாட்டை முடித்தன என்ற கூற்று அது அல்ல.