Ridurre i reclami di abuso quando gestisci un servizio VPN

Eseguire un VPN o un servizio proxy su un server comporta diversi rischi. Ad
il proprietario dell'IP e i tuoi utenti sono responsabili di qualsiasi abuso o attività illegale
attività condotta attraverso il nostro servizio. Per proteggerti da questo
problema, devi adottare misure preventive per proteggere il tuo
reputation.

Strict Mode:
Whitelisting

Un modo per assicurarti che il tuo server non venga sfruttato è permettere l'accesso solo a
determinate attività. Questo approccio, chiamato whitelist, non
impedire completamente gli abusi sulla tua infrastruttura; i tuoi utenti possono comunque attaccare altri e causare danni
nella sospensione del tuo server. Tuttavia, può rendere il processo di segnalazione un
molto più difficile, ed è probabile che allontani gli abusatori dal tuo
servizi (e, purtroppo, anche alcuni utenti legittimi).

Quello che proponiamo è bloccare tutto il traffico in entrata e in uscita
pacchetti dal tuo server se non strettamente necessari.
Ecco come puoi farlo.

L'unica cosa da considerare prima di seguire la guida è
che non devi avere altri firewall abilitati sul tuo server.
Anche se questa guida copre il processo su Ubuntu, non è necessario averlo
come OS. La logica del processo è la stessa per altri sistemi operativi.
well.

1. Installing UFW

Per prima cosa, devi installare UFW.

sudo apt install ufw

2.
Bloccare tutte le connessioni in ingresso e in uscita

Assicurati di disabilitare UFW perché i comandi seguenti potrebbero
interrompere la tua connessione al server:

sudo ufw disable

i comandi qui sotto blocceranno praticamente ogni pacchetto che tenta di
entrare o uscire dal tuo server. Dopo, permetteremo solo le connessioni che
i tuoi utenti necessitano:

sudo ufw default deny incoming

sudo ufw default deny outgoing

3. Allowing
per connetterti al tuo server

Ora permetteremo le connessioni in ingresso sulla porta 22, che è la porta
utilizzata per stabilire connessioni SSH. Anche se è sempre una buona idea
cambiare la tua porta SSH con un'altra:

sudo ufw allow in 22/tcp comment “Allows me to SSH to my server”

Mentre le connessioni in uscita sono già bloccate, bloccheremo specificamente
tutti i pacchetti in uscita che hanno la porta 22 come destinazione (nel
caso tu cambi la policy predefinita in futuro). Questo renderà sia te che
i tuoi utenti incapaci di connettersi ad altri server usando SSH sulla porta
22. Anche se sembra complicato, in realtà risolverà uno dei reclami più
comuni che causano la sospensione del tuo server. Utilizzando questo
comando, nessun utente potrà effettuare attacchi brute force SSH da
your server:

sudo ufw deny out 22/tcp comment “Stops SSH brute force”

Dopo aver permesso le connessioni in ingresso sulla porta 22, puoi abilitare il tuo
firewall senza essere disconnesso dal tuo server:

sudo ufw enable

Se per caso dovessi perdere la connessione al tuo server, puoi usare
VNC per accedere nuovamente al server e disabilitare il firewall.

4.
I tuoi utenti devono potersi connettere al server per accedere al proxy/VPN
services

Chiaramente, i tuoi utenti devono connettersi e usare il proxy del tuo server
per i loro servizi. Bloccare tutte le connessioni in ingresso lo rende impossibile
per loro. Quindi, dobbiamo permettere le porte del proxy/VPN usate dagli utenti. Ad
esempio, se vogliamo permettere agli utenti di connettersi alla porta 1194, che
è normalmente usata per OpenVPN, digita il comando seguente:

sudo ufw allow in 1194/tcp comment “OpenVPN port for users”

Oppure, se stai usando OpenVPN su UDP:

sudo ufw allow in 1194/udp comment “OpenVPN port for users”

La logica è la stessa per altri VPN e server proxy, devi solo
scoprire quale porta i tuoi utenti devono usare e permettere il traffico in ingresso
connections to it.

Ora i tuoi utenti possono connettersi al tuo server e al VPN, ma non
potranno fare connessioni verso l'esterno. Questo è l'obiettivo esatto della whitelist:
gli utenti non potranno connettersi a nessuna porta a meno che non la permittiamo.
Fare questo riduce notevolmente il rischio di
ricevere segnalazioni di abuso.

5.
Permettere ai tuoi utenti di visitare siti web e usare
applications

Ora permetteremo il traffico in uscita verso le porte usate per
navigare il web e fare API su server web. Per farlo, devi permettere
la porta TCP 80 e la porta TCP 443. Permettere anche la porta UDP 443
abiliterà i tuoi utenti a fare connessioni HTTP3:

sudo ufw allow out 80/tcp comment “HTTP connections”

sudo ufw allow out 443 comment “HTTPS and HTTP3 connections”

6. Allowing
diversi servizi secondo le necessità

Di solito aprire le porte 80 e 443 è sufficiente, ma per ottenere la
piena funzionalità di certe applicazioni o software, potrebbe essere necessario permettere
ai tuoi utenti di usare altre porte.

In generale, ti consigliamo di fare le tue ricerche e di aprire solo
le porte assolutamente necessarie. Ogni applicazione importante ha
documentazione di rete con informazioni per gli amministratori di rete
come te. In questi documenti puoi trovare le porte utilizzate dalle
applicazioni e aggiungerle alla whitelist. Qui sotto elenchiamo alcune
ones as examples.

WhatsApp
(Nessuna videochiamata o chiamata vocale):

sudo ufw allow out 443/tcp comment “WhatsApp”

sudo ufw allow out 5222/tcp comment “WhatsApp”

Git:

sudo ufw allow out 9418/tcp comment “Git”

Alcuni servizi come Discord,
Zoom,
o le chiamate vocali e video di WhatsApp richiedono un'ampia gamma di porte UDP, quindi
puoi aprirle a tua discrezione.

Lenient Mode:
Blacklisting

Nella whitelist, blocchi tutto e consenti porte specifiche. Nella
blacklist, consenti tutto e blocchi porte specifiche.

1. Installing UFW

Per prima cosa, devi installare UFW

sudo apt install ufw

2. Blocking the
incoming connections

Assicurati di disabilitare UFW perché i comandi seguenti potrebbero
interrompere la tua connessione al server:

sudo ufw disable

Ha senso bloccare tutte le connessioni in ingresso a meno che non
serviate servizi specifici. Quindi rifiutiamo tutto il traffico in ingresso:

sudo ufw default deny incoming

Nota che questa volta non stai bloccando tutte le connessioni in uscita.
Questo consente ai tuoi utenti di connettersi a qualsiasi porta desiderino. Non è
consigliabile a meno che tu non ti fidi completamente dei tuoi utenti.

3.
Consentirti di connetterti al tuo server

Ora consentiamo le connessioni in ingresso alla porta 22, la porta
utilizzata per stabilire connessioni SSH al tuo server. Anche se è
sempre una buona idea cambiare la tua porta SSH con un'altra:

sudo ufw allow in 22/tcp comment “Allows me to SSH to my server”

Se vuoi bloccare la porta SSH per evitare segnalazioni di attacchi SSH brute force,
puoi usare il seguente comando:

sudo ufw allow out 22/tcp comment “Block Outgoing SSH ”

4. Block BitTorrent

Con la stessa logica, devi bloccare le porte utilizzate per
BitTorrent. Tuttavia, poiché ci sono più porte per questo, devi
ricerca e blocco degli indirizzi IP pubblici dei tracker, nonché delle porte
normalmente utilizzate per BitTorrent.

Se hai domande, non esitare a contattarci tramite submitting a
ticket.