Блокування виходу VPN блокує адресу, а не людину

Хтось додає адресу виходу провайдера VPN до списку заборон, і зловживання припиняються на день. Потім клієнт, який випадково користується тим самим провайдером, відкриває звернення, і правило виявляється ширшим, ніж хтось описував. Блокування завжди було рішенням про адресу; проблема в тому, що його продали як рішення про особу. Розділіть ці дві речі, перш ніж писати наступне правило.

Правило, яке ви можете застосувати, стосується адреси джерела

Правило міжмережевого екрана зіставляється з полем у пакеті, і поле, з яким ви зіставляєте, — це адреса джерела. Таке правило може надійно відхиляти трафік із цієї адреси, і це реальний та корисний ефект. Але воно не може сказати, хто надіслав пакет, яким обліковим записом користувалися або чи це та сама людина, яка спричинила вчорашню проблему. Написати правило легко; описати, що воно доводить, — ось де команди помиляються.

Якщо мета — зупинити певну поведінку, правило про адресу є грубим інструментом, який просто опинився під рукою. Якщо мета — ідентифікувати користувача, адреса є неправильним доказом, а автентифікація застосунку — правильним. Визначтеся з метою, перш ніж правило потрапить у роботу.

Що насправді каже запит до реєстру

Запит до реєстру повертає виділений блок і контакти, зареєстровані для мережі. Він не перелічує служби, що працюють на кожній адресі, і не каже, який орендар надіслав запит. Навіть невеликий зареєстрований блок може містити незв'язані навантаження різних клієнтів.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Розв'язання імені хоста виходу дає адреси, повернені в той момент, тобто знімок, а не інвентаризацію. Розширення однієї відповіді на весь префікс хостингу — окреме рішення з ширшим впливом, а не повніша версія того самого доказу. Якщо ви користуєтеся підтримуваним потоком класифікації, його мітка є здогадкою з відомими помилками в обидва боки. Це не автентифікація і не список людей.

Зупиніться, якщо запропоноване правило обґрунтоване лише запитом. Знімок не є рішенням про обсяг.

Спільні виходи та супутня шкода

Спільний вихід обслуговує багатьох користувачів, і спільний адресний простір означає, що одна публічна адреса може представляти цілу групу абонентів. Його блокування зачіпає всіх, включно з тими, хто не має стосунку до зловживань. Розширення на сусідній префікс примножує цей ефект і підвищує шанс зачепити незв'язаний сервіс. Супутня шкода — не побічний ефект, який відзначають пізніше; це частина визначення правила.

Докази з пакетів мають свої межі. Адресу джерела в одиночному SYN можна підробити, тому пакет не встановлює, хто що почав. Стан напіввідкритого з'єднання показує, що рукостискання почалося, а не що протилежна сторона винна у відбитій атаці. Завершене з'єднання каже не те, що журнал застосунку, а автентифікований сеанс називає обліковий запис, якого не називає жодне з них.

Виберіть найвужчий обсяг, який дозволяє політика, і запишіть, кого очікується зачепити помилково.

Докази, які треба записати, і шлях повернення для користувачів

Кожне правило про адресу має нести спостереження, що його обґрунтувало, дату, обсяг і точку перегляду. Саме цей запис дозволяє наступній людині звузити правило, а не гадати, навіщо воно існує. Без нього тимчасове блокування стає постійною інфраструктурою.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Вирішіть, як законний користувач поверне доступ, перш ніж розгорнути блокування, бо черга підтримки — не план відновлення. Шлях апеляції, задокументований виняток або інший спосіб доступу працюють; порада припинити користуватися VPN не працює. Поєднайте мережеве правило з контролем, що відповідає поведінці: обмеження швидкості, суворіші права облікового запису або застосування всередині самого сервісу. Блокування виходу VPN може зменшити небажаний трафік, не вдаючи з себе каталог користувачів.

Симптом, який варто тримати перед очима, — це розрив між тим, що робить правило, і тим, що люди вважають, ніби воно робить. Блокування відмовляє адресі. Обліковий запис ідентифікує користувача. Тримайте ці речення окремо у зверненні, і наступне правило буде легше захистити.