การบล็อกทางออก VPN บล็อกที่อยู่ ไม่ใช่ตัวบุคคล

มีคนเพิ่มที่อยู่ทางออกของผู้ให้บริการ VPN ลงในรายการห้าม และการละเมิดก็หยุดไปหนึ่งวัน จากนั้นลูกค้าที่บังเอิญใช้ผู้ให้บริการรายเดียวกันก็เปิดตั๋ว และกฎก็กลายเป็นกฎที่กว้างกว่าที่ใครอธิบายไว้ การบล็อกเป็นการตัดสินใจเกี่ยวกับที่อยู่เสมอ ปัญหาคือมันถูกขายเป็นการตัดสินใจเกี่ยวกับตัวตน แยกสองสิ่งนี้ออกจากกันก่อนเขียนกฎข้อถัดไป

กฎที่คุณบังคับใช้ได้นั้นเกี่ยวกับที่อยู่ต้นทาง

กฎไฟร์วอลล์จับคู่กับฟิลด์ในแพ็กเก็ต และฟิลด์ที่คุณจับคู่นั้นคือที่อยู่ต้นทาง กฎนั้นสามารถปฏิเสธทราฟฟิกจากที่อยู่นั้นได้อย่างเชื่อถือได้ ซึ่งเป็นผลจริงและมีประโยชน์ แต่กฎนั้นไม่สามารถบอกได้ว่าใครส่งแพ็กเก็ต ใช้บัญชีใด หรือเป็นคนเดียวกับที่ก่อปัญหาของเมื่อวานหรือไม่ การเขียนกฎนั้นง่าย ส่วนการอธิบายว่ามันพิสูจน์อะไรได้คือจุดที่ทีมมักผิดพลาด

ถ้าเป้าหมายคือหยุดพฤติกรรมหนึ่งโดยเฉพาะ กฎที่อยู่ก็เป็นเครื่องมือทื่อที่บังเอิญมีอยู่ ถ้าเป้าหมายคือระบุตัวผู้ใช้ ที่อยู่คือหลักฐานที่ผิด และการพิสูจน์ตัวตนของแอปพลิเคชันคือหลักฐานที่ถูก ตัดสินใจว่าคุณมีเป้าหมายแบบไหนก่อนที่กฎจะถูกนำไปใช้จริง

การค้นหาทะเบียนบอกอะไรคุณจริง ๆ

การค้นหาทะเบียนคืนค่าการจัดสรรและข้อมูลติดต่อที่ลงทะเบียนไว้สำหรับเครือข่าย มันไม่ได้ระบุบริการที่ทำงานบนแต่ละที่อยู่ และไม่ได้บอกว่าผู้เช่ารายใดส่งคำขอ แม้บล็อกที่ลงทะเบียนไว้เล็ก ๆ ก็อาจมีภาระงานที่ไม่เกี่ยวข้องกันของลูกค้าต่างราย

dig +short exit.example.net
whois 203.0.113.0 | head -40

การแปลงชื่อโฮสต์ทางออกให้คุณได้ที่อยู่ที่ถูกส่งคืนในขณะนั้น ซึ่งเป็นภาพชั่วขณะไม่ใช่บัญชีรายการ การขยายคำตอบหนึ่งไปยังคำนำหน้าของโฮสติ้งทั้งหมดเป็นการตัดสินใจแยกต่างหากที่มีผลกระทบกว้างกว่า ไม่ใช่ฉบับสมบูรณ์กว่าของหลักฐานเดียวกัน ถ้าคุณใช้ฟีดการจำแนกประเภทที่ดูแลรักษา ป้ายของมันคือการคาดเดาที่มีข้อผิดพลาดที่รู้กันทั้งสองทาง มันไม่ใช่การพิสูจน์ตัวตน และไม่ใช่รายชื่อผู้คน

หยุดถ้ากฎที่เสนอมีเพียงการค้นหาเป็นเหตุผล ภาพชั่วขณะไม่ใช่การตัดสินใจเรื่องขอบเขต

ทางออกร่วมกันและความเสียหายข้างเคียง

ทางออกร่วมกันรองรับผู้ใช้จำนวนมาก และ พื้นที่ที่อยู่ร่วมกัน หมายความว่าที่อยู่สาธารณะหนึ่งที่อยู่สามารถเป็นตัวแทนของผู้ใช้บริการทั้งกลุ่ม การบล็อกที่อยู่นั้นกระทบทุกคน รวมถึงผู้ที่ไม่มีส่วนเกี่ยวข้องกับการละเมิด การขยายไปยังคำนำหน้าโดยรอบจะทวีผลนั้นและเพิ่มโอกาสที่บริการที่ไม่เกี่ยวข้องจะถูกจับไปด้วย ความเสียหายข้างเคียงไม่ใช่ผลข้างเคียงที่ค่อยไปบันทึกทีหลัง มันเป็นส่วนหนึ่งของนิยามของกฎ

หลักฐานจากแพ็กเก็ตมีขีดจำกัดของตัวเอง ที่อยู่ต้นทางใน SYN เดี่ยวอาจถูกปลอมแปลงได้ แพ็กเก็ตจึงไม่ได้ยืนยันว่าใครเริ่มอะไร สถานะการเชื่อมต่อที่เปิดครึ่งเดียวแสดงว่าการจับมือเริ่มขึ้น ไม่ได้แสดงว่าอีกฝ่ายผิดในการโจมตีแบบสะท้อน การเชื่อมต่อที่สิ้นสุดแล้วบอกสิ่งที่ต่างจากบันทึกของแอปพลิเคชัน และเซสชันที่พิสูจน์ตัวตนแล้วระบุบัญชีที่ทั้งสองอย่างไม่ได้ระบุ

เลือกขอบเขตที่แคบที่สุดที่นโยบายอนุญาต และเขียนว่าใครที่คาดว่าจะถูกจับโดยไม่ตั้งใจ

หลักฐานที่ต้องบันทึก และทางกลับสำหรับผู้ใช้

กฎที่อยู่ทุกข้อควรมีข้อสังเกตที่ทำให้มันชอบธรรม วันที่ ขอบเขต และจุดทบทวน บันทึกนั้นคือสิ่งที่ทำให้คนถัดไปลดขอบเขตของกฎได้แทนที่จะเดาว่ามันมีอยู่ทำไม หากไม่มีบันทึกนั้น การบล็อกชั่วคราวก็กลายเป็นโครงสร้างพื้นฐานถาวร

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

ตัดสินใจว่าผู้ใช้ที่ชอบด้วยกฎหมายจะกลับเข้าถึงได้อย่างไรก่อนนำการบล็อกไปใช้ เพราะคิวสนับสนุนไม่ใช่แผนการกู้คืน เส้นทางอุทธรณ์ ข้อยกเว้นที่บันทึกไว้ หรือวิธีเข้าถึงแบบอื่นล้วนใช้ได้ การบอกให้ผู้คนเลิกใช้ VPN ของตนใช้ไม่ได้ จับคู่กฎเครือข่ายกับการควบคุมที่เหมาะกับพฤติกรรม เช่น การจำกัดอัตรา สิทธิ์บัญชีที่เข้มงวดขึ้น หรือการบังคับใช้ภายในบริการเอง การบล็อกทางออก VPN ลดทราฟฟิกที่ไม่ต้องการได้โดยไม่ต้องแสร้งทำเป็นสมุดรายชื่อผู้ใช้

อาการที่ต้องจับตาคือช่องว่างระหว่างสิ่งที่กฎทำกับสิ่งที่ผู้คนเชื่อว่ามันทำ การบล็อกปฏิเสธที่อยู่ บัญชีระบุตัวผู้ใช้ แยกสองประโยคนั้นออกจากกันในตั๋ว แล้วกฎข้อถัดไปจะปกป้องได้ง่ายขึ้น