Chặn một lối ra VPN là chặn một địa chỉ, không phải một con người

Ai đó thêm địa chỉ lối ra của một nhà cung cấp VPN vào danh sách chặn, và tình trạng lạm dụng dừng lại trong một ngày. Sau đó một khách hàng tình cờ dùng cùng nhà cung cấp mở một phiếu hỗ trợ, và quy tắc hóa ra rộng hơn mức mà bất kỳ ai mô tả. Việc chặn luôn là một quyết định về địa chỉ; vấn đề là nó được bán như một quyết định về danh tính. Hãy tách hai điều đó trước khi bạn viết quy tắc tiếp theo.

Quy tắc bạn có thể thực thi là về địa chỉ nguồn

Một quy tắc tường lửa khớp với một trường trong gói tin, và trường bạn đang khớp là địa chỉ nguồn. Quy tắc đó có thể từ chối một cách đáng tin cậy lưu lượng từ địa chỉ ấy, đây là một hiệu quả thật và hữu ích. Nhưng nó không thể cho bạn biết ai đã gửi gói tin, tài khoản nào được dùng hay đó có phải cùng người đã gây ra vấn đề hôm qua. Viết quy tắc thì dễ; mô tả điều nó chứng minh mới là chỗ các đội sai.

Nếu mục tiêu là dừng một hành vi cụ thể, quy tắc địa chỉ là một công cụ cùn tình cờ có sẵn. Nếu mục tiêu là nhận diện người dùng, địa chỉ là bằng chứng sai và xác thực của ứng dụng mới là bằng chứng đúng. Hãy quyết định mục tiêu của bạn trước khi quy tắc đi vào vận hành.

Một tra cứu đăng ký thực sự cho bạn biết điều gì

Tra cứu sổ đăng ký trả về phần được cấp phát và các liên hệ đã đăng ký cho một mạng. Nó không liệt kê các dịch vụ đang chạy trên từng địa chỉ, và không cho biết khách thuê nào đã gửi yêu cầu. Ngay cả một khối đã đăng ký nhỏ cũng có thể chứa khối lượng công việc không liên quan của những khách hàng khác nhau.

dig +short exit.example.net
whois 203.0.113.0 | head -40

Phân giải tên máy chủ lối ra cho bạn các địa chỉ được trả về tại thời điểm đó, tức là một ảnh chụp chứ không phải bản kiểm kê. Mở rộng một câu trả lời sang toàn bộ tiền tố lưu trữ là một quyết định riêng với phạm vi ảnh hưởng rộng hơn, không phải một phiên bản đầy đủ hơn của cùng bằng chứng ấy. Nếu bạn dùng một nguồn phân loại được duy trì, nhãn của nó là phỏng đoán với những lỗi đã biết theo cả hai hướng. Đó không phải xác thực, và cũng không phải danh sách người.

Hãy dừng lại nếu quy tắc đề xuất chỉ được biện minh bằng một tra cứu. Ảnh chụp không phải quyết định phạm vi.

Lối ra dùng chung và thiệt hại kèm theo

Một lối ra dùng chung chở nhiều người dùng, và không gian địa chỉ dùng chung nghĩa là một địa chỉ công cộng có thể đại diện cho cả một nhóm thuê bao. Chặn nó ảnh hưởng tới tất cả, kể cả những người không liên quan gì đến lạm dụng. Mở rộng sang tiền tố xung quanh nhân hiệu ứng đó lên và tăng khả năng một dịch vụ không liên quan bị vạ lây. Thiệt hại kèm theo không phải tác dụng phụ ghi lại sau này; nó là một phần định nghĩa của quy tắc.

Bằng chứng từ gói tin có giới hạn riêng. Địa chỉ nguồn trong một SYN đơn lẻ có thể bị giả mạo, nên gói tin không xác lập ai đã khởi phát điều gì. Trạng thái kết nối nửa mở cho thấy một bắt tay đã bắt đầu, không phải bên kia có tội trong một cuộc tấn công phản xạ. Một kết nối đã kết thúc nói điều khác với nhật ký ứng dụng, và một phiên đã xác thực nêu tên một tài khoản mà cả hai đều không nêu.

Chọn phạm vi hẹp nhất mà chính sách cho phép, và ghi lại ai được dự kiến sẽ bị ảnh hưởng nhầm.

Bằng chứng cần ghi lại, và đường quay lại cho người dùng

Mỗi quy tắc địa chỉ nên mang theo quan sát đã biện minh cho nó, ngày, phạm vi và một điểm xem xét. Chính bản ghi ấy cho phép người tiếp theo thu hẹp quy tắc thay vì đoán vì sao nó tồn tại. Không có nó, một lệnh chặn tạm thời trở thành hạ tầng vĩnh viễn.

nft list ruleset | grep -n 203.0.113
ss -tn state syn-recv '( dport = :443 )'

Hãy quyết định cách một người dùng hợp pháp lấy lại quyền truy cập trước khi triển khai lệnh chặn, vì hàng đợi hỗ trợ không phải kế hoạch khôi phục. Đường khiếu nại, ngoại lệ được ghi nhận hoặc một phương thức truy cập khác đều hiệu quả; bảo người ta ngừng dùng VPN thì không. Ghép quy tắc mạng với các kiểm soát phù hợp hành vi: giới hạn tốc độ, quyền tài khoản chặt hơn hoặc thực thi bên trong chính dịch vụ. Một lệnh chặn lối ra VPN có thể giảm lưu lượng không mong muốn mà không giả vờ là danh bạ người dùng.

Triệu chứng cần để mắt là khoảng cách giữa điều quy tắc làm và điều người ta tin rằng nó làm. Một lệnh chặn từ chối một địa chỉ. Một tài khoản nhận diện một người dùng. Hãy giữ những câu đó riêng rẽ trong phiếu, và quy tắc tiếp theo sẽ dễ bảo vệ hơn.