VPN chiqishini bloklash manzilni bloklaydi, odamni emas

Kimdir VPN provayderining chiqish manzilini taqiqlanganlar ro‘yxatiga qo‘shadi va suiiste'mol bir kunga to‘xtaydi. So‘ngra o‘sha provayderdan tasodifan foydalanadigan mijoz murojaat ochadi va qoida hech kim tasvirlaganidan kengroq ekani ma'lum bo‘ladi. Blok har doim manzil haqidagi qaror edi; muammo shundaki, u shaxs haqidagi qaror sifatida sotilgan. Keyingi qoidani yozishdan oldin ikkalasini ajrating.

Siz qo‘llay oladigan qoida manba manzili haqida

Tarmoq ekrani qoidasi paketdagi maydonga mos keladi va siz moslashtirgan maydon manba manzilidir. Bu qoida o‘sha manzildan keladigan trafikni ishonchli rad etishi mumkin, bu real va foydali ta'sir. Ammo u paketni kim yuborganini, qaysi hisob ishlatilganini yoki kechagi muammoni keltirib chiqargan odam o‘shami-yo‘qmi ayta olmaydi. Qoidani yozish oson; uning nimani isbotlashini tasvirlash jamoalar xato qiladigan joydir.

Agar maqsad muayyan xatti-harakatni to‘xtatish bo‘lsa, manzil qoidasi tasodifan qo‘l ostida bo‘lgan to‘mtoq asbobdir. Agar maqsad foydalanuvchini aniqlash bo‘lsa, manzil noto‘g‘ri dalil, ilovaning autentifikatsiyasi esa to‘g‘ri dalildir. Qoida ishlab chiqarishga kirishidan oldin qaysi maqsad borligini hal qiling.

Ro‘yxatga olish so‘rovi aslida nima deydi

Reyestr so‘rovi tarmoq uchun ajratilgan blokni va ro‘yxatga olingan kontaktlarni qaytaradi. U har bir manzilda ishlaydigan xizmatlarni sanab chiqmaydi va so‘rovni qaysi ijarachi yuborganini aytmaydi. Hatto kichik ro‘yxatga olingan blok ham turli mijozlarning bir-biriga bog‘liq bo‘lmagan ish yuklarini o‘z ichiga olishi mumkin.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Chiqish xost nomini hal qilish sizga o‘sha paytda qaytarilgan manzillarni beradi, bu inventar emas, suratdir. Bitta javobni butun xosting prefiksiga kengaytirish ta'sir doirasi kengroq bo‘lgan alohida qaror, xuddi shu dalilning to‘liqroq versiyasi emas. Agar qo‘llab-quvvatlanadigan tasniflash oqimidan foydalansangiz, uning yorlig‘i ikki tomonda ham ma'lum xatolarga ega taxmindir. Bu autentifikatsiya emas va odamlar ro‘yxati ham emas.

Agar taklif qilingan qoida faqat so‘rov bilan asoslansa, to‘xtang. Surat qamrov qarori emas.

Umumiy chiqishlar va yon zarar

Umumiy chiqish ko‘plab foydalanuvchilarni tashiydi va umumiy manzil maydoni bitta ommaviy manzil butun abonentlar guruhini ifodalashi mumkinligini bildiradi. Uni bloklash barchaga ta'sir qiladi, suiiste'molga aloqasi bo‘lmaganlarga ham. Atrofdagi prefiksga kengaytirish bu ta'sirni bir necha barobar oshiradi va aloqasiz xizmatning ilinib qolish ehtimolini oshiradi. Yon zarar keyin qayd etiladigan yon ta'sir emas; u qoida ta'rifining bir qismidir.

Paket dalillarining o‘z chegaralari bor. Alohida SYN ichidagi manba manzilini soxtalashtirish mumkin, shuning uchun paket kim nimani boshlaganini aniqlamaydi. Yarim ochiq ulanish holati qo‘l berishish boshlanganini ko‘rsatadi, qarshi tomon aks ettirish hujumida aybdor ekanini emas. Tugallangan ulanish ilova jurnaliga qaraganda boshqa narsani aytadi va autentifikatsiyalangan sessiya ikkalasi ham aytmaydigan hisobni nomlaydi.

Siyosat ruxsat bergan eng tor qamrovni tanlang va xatolik bilan kim ilinib qolishi mumkinligini yozib qo‘ying.

Yozib olinadigan dalillar va foydalanuvchilar uchun qaytish yo‘li

Har bir manzil qoidasi uni asoslagan kuzatuvni, sanani, qamrovni va ko‘rib chiqish nuqtasini olib yurishi kerak. Aynan shu yozuv keyingi odamga qoida nima uchun mavjudligini taxmin qilish o‘rniga uni toraytirish imkonini beradi. Usiz vaqtinchalik blok doimiy infratuzilmaga aylanadi.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Blokni joylashtirishdan oldin qonuniy foydalanuvchi qanday qilib kirishni tiklashini hal qiling, chunki qo‘llab-quvvatlash navbati tiklanish rejasi emas. Apellyatsiya yo‘li, hujjatlashtirilgan istisno yoki boshqa kirish usuli ishlaydi; odamlarga VPN-dan foydalanishni to‘xtatishni aytish ishlamaydi. Tarmoq qoidasini xatti-harakatga mos nazorat bilan bog‘lang: tezlik cheklovlari, qattiqroq hisob ruxsatlari yoki xizmatning o‘zida amalga oshirish. VPN chiqishini bloklash o‘zini foydalanuvchilar katalogi qilib ko‘rsatmasdan keraksiz trafikni kamaytirishi mumkin.

Nazarda tutish kerak bo‘lgan alomat — qoida nima qilishi bilan odamlar u nima qiladi deb ishonishi o‘rtasidagi farq. Blok manzilni rad etadi. Hisob foydalanuvchini aniqlaydi. Bu gaplarni murojaatda alohida saqlang, keyingi qoidani himoya qilish osonroq bo‘ladi.