Reducér misbrug-klager når du kører VPN-tjeneste

Kørsel af VPN eller en proxy-tjeneste på en server kan indebære flere risici. Som
ejer af IP-adressen er dine brugere ansvarlige for eventuelle misbrug eller ulovlig
aktivitet gennem din tjeneste. For at beskytte dig selv mod dette
problem skal du træffe proaktive foranstaltninger for at beskytte din
reputation.

Strict Mode:
Whitelisting

En måde at sikre, at din server ikke bliver misbrugt, er kun at tillade
bestemte aktiviteter. Denne tilgang, kaldet whitelisting, forhindrer ikke
fuldstændigt misbrug; dine brugere kan stadig angribe andre og resultere i
suspendering af din server. Men det kan gøre misbrug meget sværere
og vil sandsynligvis drive misbrugere væk fra dine
tjenester (og desværre også nogle legitime brugere).

Hvad vi foreslår her, er at blokere al indgående og udgående
trafik fra din server undtagen det, der er absolut nødvendigt.
Sådan gør du det.

Det eneste, du skal overveje, før du følger guiden, er
at du ikke må have anden firewall aktiveret på serveren.
Selvom denne guide dækker processen på Ubuntu, behøver du ikke at have
det som dit OS. Logikken i processen er den samme for andre OS'er som
well.

1. Installing UFW

Først skal du installere UFW.

sudo apt install ufw

2.
Blokering af alle indgående og udgående forbindelser

Sørg for at deaktivere UFW, fordi følgende kommandoer kan
afbryde din forbindelse til serveren:

sudo ufw disable

kommandoerne nedenfor vil stort set droppe hver pakke, der forsøger at
komme ind eller ud af serveren. senere tillader vi kun de forbindelser, som
dine brugere har brug for:

sudo ufw default deny incoming

sudo ufw default deny outgoing

3. Allowing
dig selv at forbinde til serveren

Nu tillader vi indgående forbindelser til port 22, som er porten
der bruges til at etablere SSH-forbindelser. Selvom det altid er en god idé
at ændre din SSH-port til noget andet:

sudo ufw allow in 22/tcp comment “Allows me to SSH to my server”

Mens udgående forbindelser allerede er blokeret, vil vi specifikt
blokere alle udgående pakker, der har port 22 som deres destination (i
tilfælde af at du ændrer standardpolitikken i fremtiden). Dette gør både
dig og dine brugere ude af stand til at forbinde til andre servere ved hjælp af SSH på port
22. Selvom det lyder besværligt, løser det faktisk ét af de mest
almindelige problemer, der resulterer i serverens suspension. Ved at bruge denne
kommando vil ingen bruger være i stand til at udføre SSH brute force-angreb fra
your server:

sudo ufw deny out 22/tcp comment “Stops SSH brute force”

Efter at have tilladt indgående forbindelser til port 22, kan du aktivere din
firewall uden at blive afbrudt fra serveren:

sudo ufw enable

Hvis du skulle miste forbindelsen til din server, kan du bruge
Brug VNC til at få adgang til din server igen og deaktivere din firewall.

4.
Giv dine brugere mulighed for at forbinde til din server for at bruge proxy/VPN
services

Naturligvis skal dine brugere kunne forbinde til og bruge din servers proxy
services. At blokere alle indgående forbindelser gør dette umuligt for
dem. Så vi skal tillade de proxy-/VPN-porte, som brugerne anvender til
eksempelvis, lad os sige at vi gerne vil tillade brugere at forbinde til port 1194, som
bruges normalt til OpenVPN. Gør det sådan her:

sudo ufw allow in 1194/tcp comment “OpenVPN port for users”

Eller hvis du kører OpenVPN over UDP:

sudo ufw allow in 1194/udp comment “OpenVPN port for users”

Logikken er den samme for andre VPN og proxyservere, blot
find ud af hvilken port dine brugere skal forbinde til, og tillad indgående trafik
connections to it.

Nu kan dine brugere forbinde til din server og til VPN, men de
kan ikke oprette forbindelser til verden udenfor. Dette er
formålet med whitelist: brugere kan ikke oprette forbindelse til noget
porte medmindre, vi tillader det. Det minimerer risikoen for
modtager anmeldelser om misbrug.

5.
Gør det muligt for dine brugere at besøge websites og bruge
applications

Nu tillader vi udgående trafik til porte, der bruges til at browse
internettet og foretage API-kald på webservere. For at gøre det skal du tilladt
TCP port 80 og TCP port 443. Det er også muligt at tillade UDP port 443
gør det muligt for dine brugere at oprette HTTP3-forbindelser:

sudo ufw allow out 80/tcp comment “HTTP connections”

sudo ufw allow out 443 comment “HTTPS and HTTP3 connections”

6. Allowing
forskellige tjenester efter behov

Normalt er det nok at åbne port 80 og 443, men for at få det fulde
funktionalitet i visse applikationer eller software, skal du muligvis tillad
dine brugere kan også bruge andre porte.

Du anbefales generelt at lave dine egne undersøgelser og kun åbne
porte hvis de er absolut nødvendige. Hver større applikation har
netværksdokumentation med oplysninger til netværksadministratorer
som dig. I disse dokumenter kan du finde de porte, som
applikationerne bruger, og hvidliste dem. Vi viser et par populære
ones as examples.

WhatsApp
(Ingen video- eller stemmeopkald):

sudo ufw allow out 443/tcp comment “WhatsApp”

sudo ufw allow out 5222/tcp comment “WhatsApp”

Git:

sudo ufw allow out 9418/tcp comment “Git”

Nogle tjenester som Discord,
Zoom,
eller WhatsApp video- og stemmeopkald kræver en bred vifte af UDP porte. Du
kan åbne disse efter eget skøn.

Lenient Mode:
Blacklisting

Ved hvidlisering blokerer du alt og tillader specifikke porte. Ved
sortlisering tillader du alt og blokerer specifikke porte.

1. Installing UFW

Først skal du installere UFW

sudo apt install ufw

2. Blocking the
incoming connections

Sørg for at deaktivere UFW, fordi følgende kommandoer kan
afbryde din forbindelse til serveren:

sudo ufw disable

Det giver mening at blokere alle indgående forbindelser medmindre vi udbyder
specifikke tjenester. Lad os derfor afvise al indgående trafik:

sudo ufw default deny incoming

Bemærk at du denne gang ikke blokerer alle udgående forbindelser.
Dette tillader dine brugere at forbinde til en hvilken som helst port de ønsker. Dette anbefales ikke
medmindre du absolut stoler på dine brugere.

3.
Tillad dig selv at forbinde til din server

Nu vil vi tillate indgående forbindelser til port 22, som er porten
der bruges til at etablere SSH forbindelser til din server. Selvom det altid
er en god idé at ændre din SSH port til noget andet:

sudo ufw allow in 22/tcp comment “Allows me to SSH to my server”

Hvis du vil blokere SSH port for at undgå SSH brute force misbrug,
kan du bruge følgende kommando:

sudo ufw allow out 22/tcp comment “Block Outgoing SSH ”

4. Block BitTorrent

Med samme logik skal du blokere porte der bruges til
BitTorrent. Men da der er flere porte til dette, skal du
foretag en grundig kontrol og bloker offentlige tracker IP-adresser samt de porte
der normalt bruges til BitTorrent.

Har du spørgsmål, så kontakt os gerne på submitting a
ticket.