VPN portlarini bloklash nega ruxsatsiz tunnellarni to'xtatmaydi

Xavfsizlik devori qoidasi o'ziga mos trafikni rad etadi. U ruxsat bergan ulanishning har bir ishlatilishini rad etmaydi va ruxsatsiz tunnellarga qarshi siyosatlarning aksariyati aynan shu bo'shliqda muvaffaqiyatsizlikka uchraydi. Besh yil avval mashhur bo'lgan mijozning portlarini bloklash 443 orqali o'tadigan hamma narsani tegilmagan holda qoldiradi va o'z yo'llarini qayta yozishga qodir qurilma haqida hech narsa demaydi. Nazoratni vakolat va manzillar atrofida quring, so'ngra haqiqatan ruxsat beradigan oqimlarni o'qing.

Nega port ro'yxati siyosat emas

Portlar transport qatlami tushunchasi va bir nechta tunnel texnologiyalari ulardan umuman foydalanmaydi. Boshqalari oddiy veb-trafik bilan portni ataylab bo'lishadi, chunki aynan shu port o'tishi kafolatlangan. Shu sababli tarixiy portga asoslangan qoida xatti-harakat sinfini emas, bir nechta amalga oshirishni sanaydi. U tez ham eskiradi: provayder standart qiymatlarni o'zgartirgan paytda ro'yxat o'tmishni tasvirlaydi.

Eng yomoni, bitta portning muvaffaqiyatli bloklanishi butun muammo hal qilindi degan dalil sifatida o'qilishi mumkin, bu esa muhim bo'lgan nazoratlarni kechiktiradi.

Protokol raqamlari va portlar turli nomlar fazosidir

GRE ga IP protokol raqami 47 berilgan. Bu TCP 47 porti emas va UDP 47 porti emas, port uchun yozilgan filtr unga tegmaydi. ESP va AH xuddi shu xususiyat bilan 50 va 51 protokol raqamlarida joylashgan. Inkapsulyatsiya qilingan trafik ruxsat berilgan ulanish ichida ham yashirinishi mumkin, shu sababli toifa yoki imzo yordam berishi mumkin, lekin hech qachon yolg'iz o'zi maqsadni tasdiqlamaydi. Ishonch va qamrov aniq mahsulot va nashrga tegishli, tushunchaga emas.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Birinchi buyruq aslida nima yozganingizni ko'rsatadi; ikkinchisi stek biladigan protokol jadvalini ko'rsatadi; uchinchisi hozir qancha sessiya veb-portdan foydalanayotganini ko'rsatadi. Ularning hech biri bu sessiyalar nima uchun ekanini aytmaydi. TLS ni tutib olish ishonch, maxfiylik va mijoz bilan moslik bo'yicha o'z xarajatlariga ega alohida qaror. Bu nomlangan manzilni rad etishning old sharti emas va tunnellarni tanib olish kafolati ham emas.

Qurilma ega bo'lgan vakolatni nazorat qiling

O'zining marshrutlash jadvali va filtrlashini o'zgartira oladigan qurilma oddiy ilovada bo'lmagan imkoniyatlarga ega. Kirish va konfiguratsiyani boshqarish aynan shu imkoniyatni olib tashlaydi va tunnel qaysi portdan foydalanishidan qat'i nazar ishlaydi.

Bu tasdiqlangan ulanishlar boshqa qurilmalar uchun uzatishga cheksiz ruxsat o'rniga o'zlarining e'lon qilingan rolini olishini bildiradi va o'rnatish hamda tarmoq administratsiyasi huquqlari siyosatning bir qismi ekanini, keyingi o'y emasligini bildiradi.

Qolgan oqimlarni kuzating. Qurilma identifikatori, berilgan rol va oqim metama'lumotlarini bog'lang, tasnifni esa hukm emas, chegaralari bor dalil deb qabul qiling.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Uzoq muddatli shifrlangan sessiya yoki katta bayt soni suiiste'molning dalili emas: zaxira nusxalar, qo'llab-quvvatlash vositalari va saytlar orasidagi aloqalar bir xil ko'rinadi. Yig'ishni tergov doirasida cheklang va topilgan narsani unga egalik qiluvchi jarayon ostida saqlang.

Istisnolarni ochiq qiling

Har bir muhitda yangilanishlar, autentifikatsiya va tiklash uchun erishish mumkin bo'lib qolishi kerak bo'lgan manzillar bor. Ularni maqsad va mas'ul shaxs bilan yozib qo'ying va har bir uzilishda kashf qilish o'rniga ularni ko'rib chiqing.

Biznes haqiqatan keng tashqi xizmatga ruxsat berganda, manzil yorlig'i har qanday foydalanishni maqbul qiladi deb taxmin qilish o'rniga shu xizmat beradigan vakolatni baholang.

Ko'rib chiqilmagan istisno chipta raqamiga ega teshikdir. Nomi, sababi va ko'rib chiqish sanasi bor istisno qarordir.

Shior bilan emas, yozma reja bilan qabul qiling

Qabulning ikki yarmi bor: tasdiqlangan ish hali ham muvaffaqiyatli bo'ladi va aniq taqiqlangan holatlar vakolatli sinovda muvaffaqiyatsizlikka uchraydi. Ikkalasi ham o'zgarishdan oldin yozilishi va undan keyin takrorlanishi kerak.

O'sha ko'rib chiqishga so'nggi nuqta va siyosat o'zgarishlarini kiriting, chunki noutbukda qo'shilgan marshrut chekkada mukammal ishlagan filtrni bekor qilishi mumkin.

Natija qolgan xavfning ma'lum ro'yxati bilan birga egalik qilinadigan chiqish chegarasidir. Bir nechta yopiq port ruxsatsiz VPN foydalanishni tugatdi degan da'vo bu emas.