Чому блокування портів VPN не зупиняє несанкціоновані тунелі

Правило міжмережевого екрана відхиляє трафік, якому воно відповідає. Воно не відхиляє кожне використання з’єднання, яке дозволяє, і саме в цій прогалині зазнає невдачі більшість політик проти несанкціонованих тунелів. Блокування портів клієнта, популярного п’ять років тому, залишає недоторканим усе, що йде через 443, і нічого не каже про пристрій, здатний переписати власні маршрути. Будуйте контроль навколо повноважень і призначень, а потім читайте потоки, які ви справді дозволяєте.

Чому список портів — не політика

Порти — поняття транспортного рівня, і кілька тунельних технологій узагалі їх не використовують. Інші навмисно ділять порт зі звичайним веб-трафіком, бо саме цей порт гарантовано пропускають. Правило, прив’язане до історичного порту, тому перелічує жменю реалізацій, а не клас поведінки. Воно й старіє погано: тієї миті, коли провайдер змінює значення за замовчуванням, список описує минуле.

Гірше того, успішне блокування одного порту можна прочитати як доказ, що всю проблему вирішено, і це відкладає засоби контролю, які мали б значення.

Номери протоколів і порти — різні простори імен

GRE призначено номер протоколу IP 47. Це не TCP-порт 47 і не UDP-порт 47, і фільтр, написаний для порту, його не зачіпає. ESP і AH розташовані на номерах протоколів 50 і 51 з тією самою властивістю. Інкапсульований трафік може також ховатися всередині дозволеного з’єднання, тому категорія або сигнатура може допомогти, але ніколи сама по собі не засвідчує мету. Впевненість і охоплення належать конкретному продукту й випуску, а не концепції.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Перша команда показує, що ви насправді написали; друга показує таблицю протоколів, яку знає стек; третя показує, скільки сеансів використовують веб-порт просто зараз. Жодна з них не каже, для чого ці сеанси. Перехоплення TLS — окреме рішення з власними витратами на довіру, приватність і сумісність із клієнтами. Це не передумова для відмови в іменованому призначенні й не гарантія розпізнавання тунелів.

Керуйте повноваженнями, які має пристрій

Пристрій, здатний змінити власну таблицю маршрутизації й фільтрування, має можливості, яких звичайний застосунок не має. Управління допуском і конфігурацією — це те, що усуває таку можливість, і воно діє незалежно від того, який порт використав би тунель.

Це означає, що схвалені підключення отримують заявлену роль замість необмеженого дозволу пересилати за інші пристрої, і означає, що права на встановлення й адміністрування мережі є частиною політики, а не запізнілою думкою.

Спостерігайте за потоками, що залишаються. Зіставляйте ідентичність пристрою, призначену роль і метадані потоку, і ставтеся до класифікації як до доказу з обмеженнями, а не як до вироку.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Довготривалий зашифрований сеанс або великий обсяг байтів не є доказом зловживання: резервні копії, інструменти підтримки й зв’язки між майданчиками виглядають однаково. Обмежте збирання рамками розслідування й зберігайте знайдене в межах процесу, якому воно належить.

Зробіть винятки явними

У кожному середовищі є призначення, які мають залишатися доступними для оновлень, автентифікації та відновлення. Запишіть їх із метою й відповідальним і переглядайте, замість того щоб виявляти їх по одному збою за раз.

Коли бізнес справді дозволяє широкий зовнішній сервіс, оцінюйте повноваження, які цей сервіс надає, а не припускайте, що ярлик призначення робить будь-яке використання прийнятним.

Непереглянутий виняток — це діра з номером заявки. Виняток з іменем, причиною й датою перегляду — це рішення.

Приймайте з письмовим планом, а не з гаслом

Приймання має дві половини: схвалена робота все ще виконується, а конкретні заборонені випадки зазнають невдачі в авторизованому тесті. Обидві треба записати до зміни й повторити після неї.

Включіть у цей перегляд зміни кінцевих точок і політики, бо маршрут, доданий на ноутбуці, може скасувати фільтр, який бездоганно працював на периферії.

Результат — власна межа виходу з відомим списком залишкового ризику. Твердження, що кілька закритих портів поклали край несанкціонованому використанню VPN, — це не воно.