ทำไมการบล็อกพอร์ต VPN จึงไม่หยุดอุโมงค์ที่ไม่ได้รับอนุญาต

กฎไฟร์วอลล์ปฏิเสธทราฟฟิกที่ตรงกับกฎนั้น แต่ไม่ได้ปฏิเสธทุกการใช้การเชื่อมต่อที่กฎนั้นอนุญาต และช่องว่างนี้คือที่ที่นโยบายต่อต้านอุโมงค์ที่ไม่ได้รับอนุญาตส่วนใหญ่ล้มเหลว การบล็อกพอร์ตของไคลเอนต์ที่เคยได้รับความนิยมเมื่อห้าปีก่อนปล่อยทุกสิ่งที่ไม่วิ่งผ่าน 443 ไว้ไม่แตะต้อง และไม่พูดอะไรเกี่ยวกับอุปกรณ์ที่เขียนเส้นทางของตัวเองใหม่ได้ สร้างการควบคุมรอบอำนาจและปลายทาง แล้วอ่านโฟลว์ที่คุณอนุญาตจริง

ทำไมรายการพอร์ตจึงไม่ใช่นโยบาย

พอร์ตเป็นแนวคิดของชั้นขนส่ง และเทคโนโลยีอุโมงค์หลายชนิดไม่ใช้พอร์ตเลย บางชนิดแชร์พอร์ตกับทราฟฟิกเว็บปกติโดยเจตนา เพราะพอร์ตนั้นคือพอร์ตที่รับประกันว่าจะผ่านได้ กฎที่อิงพอร์ตในอดีตจึงนับเพียงไม่กี่การใช้งาน ไม่ใช่ทั้งกลุ่มพฤติกรรม มันยังเสื่อมสภาพเร็วด้วย ทันทีที่ผู้ให้บริการเปลี่ยนค่าเริ่มต้น รายการก็กลายเป็นคำอธิบายของอดีต

แย่กว่านั้น การบล็อกพอร์ตหนึ่งได้สำเร็จอาจถูกอ่านว่าเป็นหลักฐานว่าแก้ปัญหาทั้งหมดแล้ว ซึ่งทำให้การควบคุมที่สำคัญล่าช้าออกไป

หมายเลขโปรโตคอลกับพอร์ตเป็นเนมสเปซที่ต่างกัน

GRE ได้รับหมายเลขโปรโตคอล IP 47 ไม่ใช่พอร์ต TCP 47 และไม่ใช่พอร์ต UDP 47 และตัวกรองที่เขียนสำหรับพอร์ตก็ไม่แตะต้องมัน ESP และ AH อยู่ที่หมายเลขโปรโตคอล 50 และ 51 ด้วยคุณสมบัติเดียวกัน ทราฟฟิกที่ห่อหุ้มสามารถซ่อนอยู่ในการเชื่อมต่อที่อนุญาตได้เช่นกัน จึงเป็นเหตุผลที่หมวดหมู่หรือลายเซ็นช่วยได้ แต่ไม่เคยยืนยันวัตถุประสงค์ได้ด้วยตัวเอง ความเชื่อมั่นและความครอบคลุมเป็นของผลิตภัณฑ์และรุ่นที่เฉพาะเจาะจง ไม่ใช่ของแนวคิด

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

คำสั่งแรกแสดงสิ่งที่คุณเขียนจริง คำสั่งที่สองแสดงตารางโปรโตคอลที่สแตกรู้จัก คำสั่งที่สามแสดงจำนวนเซสชันที่ใช้พอร์ตเว็บอยู่ในขณะนี้ ไม่มีคำสั่งใดบอกว่าเซสชันเหล่านั้นมีไว้ทำอะไร การดักจับ TLS เป็นการตัดสินใจแยกต่างหากที่มีต้นทุนด้านความเชื่อถือ ความเป็นส่วนตัว และความเข้ากันได้กับไคลเอนต์ของตัวเอง มันไม่ใช่เงื่อนไขเบื้องต้นในการปฏิเสธปลายทางที่ระบุชื่อ และไม่ใช่การรับประกันการรู้จำอุโมงค์เช่นกัน

ควบคุมอำนาจที่อุปกรณ์มี

อุปกรณ์ที่เปลี่ยนตารางเส้นทางและการกรองของตัวเองได้มีความสามารถที่แอปพลิเคชันทั่วไปไม่มี การจัดการการรับเข้าและการกำหนดค่าคือสิ่งที่ถอดความสามารถนั้นออก และมันทำงานโดยไม่ขึ้นกับว่าจะใช้อุโมงค์ผ่านพอร์ตใด

นั่นหมายความว่าการเชื่อมต่อที่อนุมัติได้รับบทบาทที่ประกาศไว้ แทนการอนุญาตไม่จำกัดให้ส่งต่อแทนอุปกรณ์อื่น และหมายความว่าสิทธิ์ในการติดตั้งและบริหารเครือข่ายเป็นส่วนหนึ่งของนโยบาย ไม่ใช่ความคิดภายหลัง

สังเกตโฟลว์ที่เหลืออยู่ เชื่อมโยงตัวตนของอุปกรณ์ บทบาทที่กำหนด และเมทาดาทาของโฟลว์ และถือการจำแนกประเภทเป็นหลักฐานที่มีขอบเขต ไม่ใช่คำตัดสิน

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

เซสชันเข้ารหัสที่ยาวนานหรือจำนวนไบต์มากไม่ใช่หลักฐานการใช้งานในทางที่ผิด เพราะการสำรองข้อมูล เครื่องมือสนับสนุน และลิงก์ระหว่างไซต์ดูเหมือนกัน จำกัดการเก็บรวบรวมให้อยู่ในขอบเขตการสอบสวน และเก็บสิ่งที่พบไว้ภายใต้กระบวนการที่เป็นเจ้าของ

ทำให้ข้อยกเว้นชัดเจน

ทุกสภาพแวดล้อมมีปลายทางที่ต้องเข้าถึงได้สำหรับการอัปเดต การพิสูจน์ตัวตน และการกู้คืน จดบันทึกพร้อมวัตถุประสงค์และผู้รับผิดชอบ และทบทวนแทนที่จะค้นพบทีละเหตุขัดข้อง

เมื่อธุรกิจอนุญาตบริการภายนอกที่กว้างจริง ๆ ให้ประเมินอำนาจที่บริการนั้นมอบให้ แทนที่จะถือว่าป้ายของปลายทางทำให้ทุกการใช้เป็นที่ยอมรับ

ข้อยกเว้นที่ไม่ได้รับการทบทวนคือช่องโหว่ที่มีหมายเลขตั๋ว ข้อยกเว้นที่มีชื่อ เหตุผล และวันที่ทบทวนคือการตัดสินใจ

ยอมรับด้วยแผนที่เป็นลายลักษณ์อักษร ไม่ใช่คำขวัญ

การยอมรับมีสองครึ่ง งานที่อนุมัติยังคงสำเร็จ และกรณีต้องห้ามที่ระบุเจาะจงล้มเหลวในการทดสอบที่ได้รับอนุญาต ทั้งสองต้องเขียนไว้ก่อนการเปลี่ยนแปลงและทำซ้ำหลังจากนั้น

รวมการเปลี่ยนแปลงปลายทางและนโยบายไว้ในการทบทวนนั้น เพราะเส้นทางที่เพิ่มบนแล็ปท็อปสามารถยกเลิกตัวกรองที่ทำงานได้อย่างสมบูรณ์ที่ขอบ

สิ่งที่ส่งมอบคือขอบเขตขาออกที่มีเจ้าของพร้อมรายการความเสี่ยงที่เหลืออยู่ซึ่งรู้จักแล้ว การอ้างว่าพอร์ตที่ปิดไปสองสามพอร์ตยุติการใช้ VPN ที่ไม่ได้รับอนุญาตไม่ใช่สิ่งนั้น