Bakit hindi pinipigilan ng pagharang sa mga port ng VPN ang mga hindi awtorisadong tunnel

Ang panuntunan ng firewall ay tinatanggihan ang trapikong katugma nito. Hindi nito tinatanggihan ang bawat paggamit ng koneksyong pinapayagan nito, at sa puwang na ito nabibigo ang karamihan ng mga patakaran laban sa mga hindi awtorisadong tunnel. Ang pagharang sa mga port ng kliyenteng sikat limang taon na ang nakalipas ay iniiwang hindi nagalaw ang lahat ng dumadaan sa 443, at wala itong sinasabi tungkol sa device na kayang muling isulat ang sariling mga ruta. Itayo ang kontrol sa paligid ng awtoridad at mga destinasyon, pagkatapos basahin ang mga daloy na talagang pinapayagan mo.

Bakit hindi patakaran ang listahan ng port

Ang mga port ay konsepto ng layer ng transportasyon, at ilang teknolohiya ng tunnel ay hindi gumagamit ng kahit isa. Ang iba ay sadyang nakikibahagi ng port sa ordinaryong trapiko ng web, dahil ang port na iyon ang garantisadong makakadaan. Kaya ang panuntunang nakabatay sa makasaysayang port ay naglilista ng iilang implementasyon sa halip na ang klase ng pag-uugali. Mabilis din itong maluma: sa sandaling baguhin ng provider ang mga default, inilalarawan ng listahan ang nakaraan.

Mas masahol pa, ang matagumpay na pagharang sa isang port ay maaaring basahin bilang patunay na nalutas na ang buong problema, na nagpapabagal sa mga kontrol na sana ay mahalaga.

Magkaibang namespace ang mga numero ng protocol at port

Ang GRE ay binibigyan ng numero ng IP protocol 47. Hindi ito TCP port 47 at hindi UDP port 47, at ang filter na isinulat para sa isang port ay hindi ito naaabot. Ang ESP at AH ay nasa mga numero ng protocol 50 at 51 na may parehong katangian. Ang naka-encapsulate na trapiko ay maaari ring magtago sa loob ng pinapayagang koneksyon, kaya makatutulong ang isang kategorya o lagda ngunit hindi kailanman pinatutunayan nito ang layunin nang mag-isa. Ang tiwala at saklaw ay nabibilang sa isang partikular na produkto at release, hindi sa konsepto.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Ipinapakita ng unang utos kung ano talaga ang isinulat mo; ipinapakita ng pangalawa ang talahanayan ng protocol na alam ng stack; ipinapakita ng pangatlo kung ilang session ang gumagamit ng web port ngayon. Wala sa mga ito ang nagsasabi kung para saan ang mga session na iyon. Ang pagharang sa TLS ay hiwalay na desisyon na may sariling gastos sa tiwala, privacy at pagiging tugma sa kliyente. Hindi ito paunang kundisyon upang tanggihan ang pinangalanang destinasyon, at hindi rin ito garantiya ng pagkilala sa mga tunnel.

Kontrolin ang awtoridad na mayroon ang device

Ang device na kayang baguhin ang sariling talahanayan ng routing at pag-filter ay may mga kakayahan na wala sa ordinaryong aplikasyon. Ang pamamahala ng pagtanggap at configuration ang nag-aalis ng kakayahang iyon, at gumagana ito anuman ang port na gagamitin ng tunnel.

Ibig sabihin, ang mga aprubadong attachment ay nakakakuha ng kanilang ipinahayag na tungkulin sa halip na walang limitasyong pahintulot na mag-forward para sa ibang device, at ibig sabihin, ang mga karapatan sa pag-install at pamamahala ng network ay bahagi ng patakaran sa halip na isang naisip lamang.

Obserbahan ang mga natitirang daloy. I-ugnay ang pagkakakilanlan ng device, itinalagang tungkulin at metadata ng daloy, at ituring ang pag-uuri bilang ebidensiyang may hangganan sa halip na hatol.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Ang matagalang naka-encrypt na session o malaking bilang ng byte ay hindi patunay ng pang-aabuso: ang mga backup, kagamitan sa suporta at link sa pagitan ng mga site ay magkamukha. Panatilihing saklaw ng imbestigasyon ang pagkolekta at itago ang makikita mo sa ilalim ng prosesong nagmamay-ari nito.

Gawing malinaw ang mga eksepsiyon

Bawat kapaligiran ay may mga destinasyong dapat manatiling maabot para sa mga update, pagpapatunay at pagbawi. Isulat ang mga ito kasama ang layunin at may-ari, at suriin ang mga ito sa halip na matuklasan ang isa-isa tuwing may aberya.

Kapag talagang pinapayagan ng negosyo ang malawak na panlabas na serbisyo, tasahin ang awtoridad na ibinibigay ng serbisyong iyon sa halip na ipagpalagay na ginagawang katanggap-tanggap ng label ng destinasyon ang bawat paggamit.

Ang eksepsiyon na hindi nasuri ay butas na may numero ng tiket. Ang eksepsiyon na may pangalan, dahilan at petsa ng pagsusuri ay isang desisyon.

Tanggapin gamit ang nakasulat na plano, hindi islogan

Ang pagtanggap ay may dalawang kalahati: nagtatagumpay pa rin ang aprubadong trabaho, at nabibigo ang mga partikular na ipinagbabawal na kaso sa awtorisadong pagsubok. Kailangang isulat ang dalawa bago ang pagbabago at ulitin pagkatapos nito.

Isama ang mga pagbabago sa endpoint at patakaran sa pagsusuring iyon, dahil ang rutang idinagdag sa laptop ay maaaring magpawalang-bisa sa filter na perpektong gumagana sa gilid.

Ang deliverable ay isang pagmamay-aring hangganan ng labasan na may kilalang listahan ng natitirang panganib. Ang pagsasabing ilang saradong port ang nagtapos sa hindi awtorisadong paggamit ng VPN ay hindi iyon.