Ang Pagharang ng Exit ng VPN ay Nagharang ng Address, Hindi Tao

May nagdagdag ng exit address ng isang provider ng VPN sa listahan ng pagbabawal, at huminto ang pang-aabuso nang isang araw. Pagkatapos, isang kostumer na nagkataong gumagamit ng parehong provider ang nagbukas ng ticket, at ang tuntunin ay lumabas na mas malawak kaysa inilarawan ng kahit sino. Ang pagharang ay laging desisyon tungkol sa address; ang problema ay ipinagbili ito bilang desisyon tungkol sa pagkakakilanlan. Paghiwalayin ang dalawa bago mo isulat ang susunod na tuntunin.

Ang tuntuning maipatutupad mo ay tungkol sa source address

Ang tuntunin ng firewall ay tumutugma sa isang field sa packet, at ang field na itinatapat mo ay ang source address. Maaaring tanggihan ng tuntuning iyon nang mapagkakatiwalaan ang trapiko mula sa address na iyon, na isang tunay at kapaki-pakinabang na epekto. Ngunit hindi nito masasabi kung sino ang nagpadala ng packet, anong account ang ginamit o kung siya rin ang taong nagdulot ng problema kahapon. Madaling isulat ang tuntunin; ang paglalarawan kung ano ang pinatutunayan nito ang lugar kung saan nagkakamali ang mga koponan.

Kung ang layunin ay pigilan ang isang partikular na pag-uugali, ang tuntunin sa address ay isang mapurol na kasangkapan na nagkataong magagamit. Kung ang layunin ay kilalanin ang isang gumagamit, ang address ay maling ebidensya at ang pagpapatunay ng aplikasyon ang tama. Magpasya kung alin ang layunin mo bago pumasok ang tuntunin sa produksyon.

Ano ang talagang sinasabi sa iyo ng paghahanap sa rehistro

Ang paghahanap sa rehistro ay nagbabalik ng inilaan na bloke at ng mga contact na nakarehistro para sa isang network. Hindi nito inililista ang mga serbisyong tumatakbo sa bawat address, at hindi nito sinasabi kung aling tenant ang nagpadala ng kahilingan. Kahit maliit na nakarehistrong bloke ay maaaring maglaman ng walang kaugnayang workload ng iba't ibang kostumer.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Ang pagresolba ng hostname ng exit ay nagbibigay sa iyo ng mga address na ibinalik sa sandaling iyon, na isang snapshot at hindi imbentaryo. Ang pagpapalawak ng isang sagot sa buong prefix ng hosting ay hiwalay na desisyon na may mas malawak na epekto, hindi mas kumpletong bersyon ng parehong ebidensya. Kung gumagamit ka ng pinapanatiling feed ng klasipikasyon, ang label nito ay haka-haka na may kilalang mga error sa parehong direksyon. Hindi ito pagpapatunay, at hindi ito listahan ng mga tao.

Huminto kung ang iminungkahing tuntunin ay makatwiran lamang sa pamamagitan ng isang paghahanap. Ang snapshot ay hindi desisyon sa saklaw.

Pinagsasaluhang exit at pinsalang kolateral

Ang pinagsasaluhang exit ay may dalang maraming gumagamit, at ang pinagsasaluhang espasyo ng address ay nangangahulugang ang isang pampublikong address ay maaaring kumatawan sa isang buong grupo ng mga subscriber. Ang pagharang dito ay apektado silang lahat, kabilang ang mga walang kaugnayan sa pang-aabuso. Ang pagpapalawak sa nakapaligid na prefix ay nagpaparami ng epektong iyon at nagpapataas ng tsansang mahuli ang isang walang kaugnayang serbisyo. Ang pinsalang kolateral ay hindi side effect na itatala mamaya; bahagi ito ng depinisyon ng tuntunin.

May sariling hangganan ang ebidensya ng packet. Ang source address sa isang nakahiwalay na SYN ay maaaring palsipikahin, kaya hindi tinutukoy ng packet kung sino ang nag-umpisa ng anuman. Ang kalahating bukas na estado ng koneksyon ay nagpapakita na nagsimula ang handshake, hindi na ang kabilang panig ay may kasalanan sa pag-atakeng repleksyon. Ang tapos na koneksyon ay nagsasabi ng iba kaysa log ng aplikasyon, at ang awtentikadong sesyon ay nagngangalan ng account na hindi binabanggit ng dalawa.

Piliin ang pinakamakitid na saklaw na pinapayagan ng patakaran, at isulat kung sino ang inaasahang mahuhuli nang mali.

Ebidensyang dapat itala, at daan pabalik para sa mga gumagamit

Bawat tuntunin sa address ay dapat may dalang obserbasyon na nagbigay-katwiran dito, petsa, saklaw at punto ng pagsusuri. Ang talang iyon ang nagpapahintulot sa susunod na tao na paliitin ang tuntunin sa halip na hulaan kung bakit ito umiiral. Kung wala ito, ang pansamantalang pagharang ay nagiging permanenteng imprastruktura.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Magpasya kung paano makakabawi ng access ang isang lehitimong gumagamit bago mo i-deploy ang pagharang, dahil ang pila ng suporta ay hindi planong pagbawi. Ang daan ng apela, dokumentadong eksepsyon o ibang paraan ng access ay gumagana; ang pagsabi sa mga tao na itigil ang paggamit ng kanilang VPN ay hindi gumagana. Ipares ang tuntunin ng network sa mga kontrol na akma sa pag-uugali: mga limitasyon sa rate, mas mahigpit na pahintulot sa account o pagpapatupad sa loob ng serbisyo mismo. Ang pagharang ng exit ng VPN ay makakabawas ng hindi kagustuhang trapiko nang hindi nagpapanggap na direktoryo ng gumagamit.

Ang sintomas na dapat bantayan ay ang agwat sa pagitan ng ginagawa ng tuntunin at ng pinaniniwalaan ng mga tao na ginagawa nito. Ang pagharang ay tumatanggi sa isang address. Ang account ay kumikilala sa isang gumagamit. Panatilihing hiwalay ang mga pangungusap na iyon sa ticket, at ang susunod na tuntunin ay mas madaling ipagtanggol.