Bir VPN Çıkışını Engellemek Bir Adresi Engeller, Kişiyi Değil

Biri bir VPN sağlayıcısının çıkış adresini bir engel listesine ekler ve kötüye kullanım bir gün için durur. Sonra aynı sağlayıcıyı kazara kullanan bir müşteri bir kayıt açar ve kuralın kimsenin tanımladığından daha geniş olduğu ortaya çıkar. Engelleme her zaman bir adres kararıydı; sorun, bunun bir kimlik kararı olarak satılmasıdır. Bir sonraki kuralı yazmadan önce ikisini ayırın.

Uygulayabileceğiniz kural bir kaynak adresiyle ilgilidir

Bir güvenlik duvarı kuralı paketteki bir alanla eşleşir ve eşleştirdiğiniz alan kaynak adresidir. Bu kural, o adresten gelen trafiği güvenilir biçimde reddedebilir; bu gerçek ve yararlı bir etkidir. Ancak paketi kimin gönderdiğini, hangi hesabın kullanıldığını ya da dünkü sorunu çıkaran kişinin aynı kişi olup olmadığını söyleyemez. Kuralı yazmak kolaydır; neyi kanıtladığını anlatmak ekiplerin hata yaptığı yerdir.

Amaç belirli bir davranışı durdurmaksa, adres kuralı el altında bulunan kör bir araçtır. Amaç bir kullanıcıyı tanımlamaksa, adres yanlış kanıttır ve doğru olan uygulamanın kimlik doğrulamasıdır. Kural üretime girmeden önce hangi amaca sahip olduğunuza karar verin.

Bir kayıt sorgusu size gerçekte ne söyler

Bir kayıt sorgusu bir ağ için ayrılan bloğu ve kayıtlı kişileri döndürür. Her adreste çalışan hizmetleri listelemez ve isteği hangi kiracının gönderdiğini söylemez. Küçük bir kayıtlı blok bile farklı müşterilerin ilgisiz iş yüklerini içerebilir.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Bir çıkış ana bilgisayar adını çözmek size o anda döndürülen adresleri verir; bu bir envanter değil, anlık bir görüntüdür. Tek bir yanıtı tüm barındırma önekine genişletmek, aynı kanıtın daha eksiksiz bir sürümü değil, etki alanı daha geniş ayrı bir karardır. Bakımı yapılan bir sınıflandırma akışı kullanıyorsanız, etiketi her iki yönde de bilinen hataları olan bir tahmindir. Kimlik doğrulama değildir ve insan listesi de değildir.

Önerilen kural yalnızca bir sorguyla gerekçelendiriliyorsa durun. Anlık görüntü bir kapsam kararı değildir.

Paylaşılan çıkışlar ve yan hasar

Paylaşılan bir çıkış birçok kullanıcıyı taşır ve paylaşılan adres alanı tek bir genel adresin bütün bir abone grubunu temsil edebileceği anlamına gelir. Bunu engellemek, kötüye kullanımla hiçbir ilgisi olmayanlar dahil herkesi etkiler. Çevredeki öneke genişletmek bu etkiyi katlar ve ilgisiz bir hizmetin yakalanma olasılığını artırır. Yan hasar sonradan not edilecek bir yan etki değildir; kuralın tanımının parçasıdır.

Paket kanıtının kendi sınırları vardır. Tek başına bir SYN içindeki kaynak adresi sahte olabilir, bu yüzden paket kimin bir şeyi başlattığını kanıtlamaz. Yarı açık bağlantı durumu bir el sıkışmanın başladığını gösterir, karşı tarafın bir yansıma saldırısından suçlu olduğunu değil. Tamamlanmış bir bağlantı bir uygulama kaydından farklı bir şey söyler ve kimliği doğrulanmış bir oturum, ikisinin de adlandırmadığı bir hesabı adlandırır.

Politikanın izin verdiği en dar kapsamı seçin ve yanlışlıkla kimin etkileneceğini yazın.

Kaydedilecek kanıtlar ve kullanıcılar için geri dönüş yolu

Her adres kuralı, onu gerekçelendiren gözlemi, tarihi, kapsamı ve bir gözden geçirme noktasını taşımalıdır. Bir sonraki kişinin kuralın neden var olduğunu tahmin etmek yerine onu daraltmasını sağlayan şey bu kayıttır. Bu olmadan geçici bir engel kalıcı altyapıya dönüşür.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Engeli devreye almadan önce meşru bir kullanıcının erişimi nasıl geri kazanacağına karar verin, çünkü bir destek kuyruğu kurtarma planı değildir. Bir itiraz yolu, belgelenmiş bir istisna ya da farklı bir erişim yöntemi işe yarar; insanlara VPN'lerini kullanmayı bırakmalarını söylemek işe yaramaz. Ağ kuralını davranışa uygun kontrollerle eşleştirin: hız sınırları, daha sıkı hesap izinleri veya hizmetin kendi içinde yaptırım. Bir VPN çıkış engeli, kendini kullanıcı dizini gibi göstermeden istenmeyen trafiği azaltabilir.

Göz önünde tutulması gereken belirti, kuralın yaptığı şey ile insanların yaptığına inandığı şey arasındaki boşluktur. Bir engel bir adresi reddeder. Bir hesap bir kullanıcıyı tanımlar. Bu cümleleri kayıtta ayrı tutun, bir sonraki kuralı savunmak daha kolay olacaktır.