Vì sao chặn cổng VPN không ngăn được các đường hầm trái phép

Một quy tắc tường lửa từ chối lưu lượng mà nó khớp. Nó không từ chối mọi cách dùng của một kết nối mà nó cho phép, và chính trong khoảng trống đó mà phần lớn chính sách chống đường hầm trái phép thất bại. Chặn cổng của ứng dụng từng phổ biến cách đây năm năm để nguyên mọi thứ đi qua 443, và không nói gì về một thiết bị có thể viết lại tuyến đường của chính nó. Xây dựng kiểm soát quanh quyền hạn và đích đến, rồi đọc những luồng mà bạn thực sự cho phép.

Vì sao danh sách cổng không phải là chính sách

Cổng là khái niệm của tầng giao vận, và một số công nghệ đường hầm không dùng cổng nào cả. Những công nghệ khác cố ý chia sẻ một cổng với lưu lượng web thông thường vì cổng đó là cổng được bảo đảm đi qua. Vì vậy, một quy tắc dựa trên cổng lịch sử chỉ liệt kê một vài triển khai chứ không phải cả lớp hành vi. Nó cũng lỗi thời nhanh: ngay khi nhà cung cấp đổi giá trị mặc định, danh sách đã mô tả quá khứ.

Tệ hơn, việc chặn thành công một cổng có thể bị đọc như bằng chứng rằng toàn bộ vấn đề đã được giải quyết, điều đó làm chậm những kiểm soát lẽ ra mới có ý nghĩa.

Số giao thức và cổng là hai không gian tên khác nhau

GRE được gán số giao thức IP 47. Đó không phải cổng TCP 47 và cũng không phải cổng UDP 47, và một bộ lọc viết cho cổng không chạm tới nó. ESP và AH nằm ở số giao thức 50 và 51 với cùng tính chất đó. Lưu lượng đóng gói cũng có thể ẩn bên trong một kết nối được cho phép, nên một hạng mục hay chữ ký có thể giúp ích nhưng không bao giờ tự nó chứng thực mục đích. Độ tin cậy và độ phủ thuộc về một sản phẩm và một bản phát hành cụ thể, không thuộc về khái niệm.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Lệnh thứ nhất cho thấy bạn thực sự đã viết gì; lệnh thứ hai cho thấy bảng giao thức mà ngăn xếp biết; lệnh thứ ba cho thấy hiện có bao nhiêu phiên đang dùng cổng web. Không lệnh nào cho biết các phiên đó dùng để làm gì. Chặn bắt TLS là một quyết định riêng với chi phí riêng về tin cậy, riêng tư và tương thích máy khách. Nó không phải điều kiện tiên quyết để từ chối một đích được đặt tên, và cũng không phải bảo đảm nhận diện được đường hầm.

Kiểm soát quyền hạn mà thiết bị có

Một thiết bị có thể thay đổi bảng định tuyến và bộ lọc của chính nó có những năng lực mà một ứng dụng thông thường không có. Quản lý tiếp nhận và cấu hình chính là thứ loại bỏ năng lực đó, và nó tác động bất kể đường hầm dùng cổng nào.

Điều đó có nghĩa là các kết nối đã được phê duyệt nhận đúng vai trò đã khai báo thay vì quyền chuyển tiếp không hạn chế cho thiết bị khác, và có nghĩa là quyền cài đặt và quản trị mạng là một phần của chính sách chứ không phải ý nghĩ thêm vào sau.

Quan sát những luồng còn lại. Tương quan danh tính thiết bị, vai trò được gán và siêu dữ liệu luồng, và coi việc phân loại là bằng chứng có giới hạn chứ không phải phán quyết.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Một phiên mã hóa tồn tại lâu hoặc số byte lớn không phải bằng chứng lạm dụng: bản sao lưu, công cụ hỗ trợ và liên kết giữa các điểm trông giống hệt nhau. Giữ phạm vi thu thập trong cuộc điều tra và lưu những gì bạn tìm thấy dưới quy trình sở hữu nó.

Nêu rõ các ngoại lệ

Môi trường nào cũng có những đích phải luôn tiếp cận được để cập nhật, xác thực và khôi phục. Ghi chúng lại kèm mục đích và người chịu trách nhiệm, và rà soát chúng thay vì phát hiện lần lượt qua từng sự cố.

Khi doanh nghiệp thực sự cho phép một dịch vụ bên ngoài rộng, hãy đánh giá quyền hạn mà dịch vụ đó cung cấp thay vì giả định rằng nhãn đích khiến mọi cách dùng đều chấp nhận được.

Một ngoại lệ chưa được rà soát là một lỗ hổng có số phiếu. Một ngoại lệ có tên, lý do và ngày rà soát là một quyết định.

Chấp nhận bằng kế hoạch bằng văn bản, không phải khẩu hiệu

Việc chấp nhận có hai nửa: công việc đã phê duyệt vẫn thành công, và các trường hợp bị cấm cụ thể thất bại trong một bài kiểm tra được cấp quyền. Cả hai phải được viết trước khi thay đổi và lặp lại sau đó.

Đưa các thay đổi về điểm cuối và chính sách vào lần rà soát đó, vì một tuyến được thêm trên máy tính xách tay có thể vô hiệu hóa bộ lọc vốn chạy hoàn hảo ở biên.

Sản phẩm bàn giao là một ranh giới ra có chủ sở hữu kèm danh sách rủi ro còn lại đã biết. Khẳng định rằng vài cổng bị đóng đã chấm dứt việc dùng VPN trái phép không phải là điều đó.