1. Что делает сервис
fxtun — платформа обратного туннелирования: она открывает локальные сетевые сервисы в публичный интернет через HTTP-субдомены, TCP- и UDP-порты. Пользуясь сервисом, вы осознаёте, что делаете локальный сервис доступным из любой точки интернета.
Этот документ описывает риски, присущие TCP- и UDP-туннелированию, и вашу ответственность при работе с этими возможностями.
2. Риски TCP-туннелей
TCP-туннель пробрасывает сырые TCP-соединения с выделенного публичного порта на ваш локальный сервис. Отсюда следует:
- Полная открытость сети: подключиться к вашему сервису по выданному порту может любое устройство в интернете. На уровне туннеля нет ни аутентификации, ни контроля доступа;
- Прозрачность протокола: fxtun передаёт TCP-трафик как есть, без разбора, фильтрации и изменений. Уязвимости вашего локального сервиса становятся эксплуатируемыми удалённо;
- Особенно опасные сервисы: открывать без нормальной аутентификации SSH (порт 22), базы данных (MySQL 3306, PostgreSQL 5432, Redis 6379, MongoDB 27017), RDP (3389) или административные панели — крайне рискованно;
- Перебор паролей: открытый в интернет сервис начнёт получать автоматические попытки входа в течение минут. Слабые и стандартные пароли будут подобраны;
- Перехват данных: соединения между сервером fxtun и внешними клиентами не шифруются, если сам ваш сервис не использует TLS. Чувствительные данные могут быть перехвачены по пути.
3. Риски UDP-туннелей
UDP-туннель пробрасывает датаграммы с публичного порта на ваш локальный UDP-сервис. Добавляются следующие риски:
- Атаки с усилением: UDP-сервисы (DNS, NTP, memcached, SSDP) используют как усилители в DDoS-атаках. Если ваш сервис отвечает пакетами большего размера, чем получает, его могут эксплуатировать;
- Подделка адреса отправителя: в UDP нет состояния соединения. Атакующий может отправлять пакеты с подложным обратным адресом, втягивая ваш сервис в атаки с отражением;
- Нет гарантий доставки: UDP не обеспечивает порядок, повторную отправку и контроль перегрузки. Потерю пакетов приложение должно обрабатывать само;
- Отсутствие сессии: без отслеживания соединений любой может отправить датаграмму вашему сервису в любой момент, без установленной сессии.
4. Общие риски TCP и UDP
- Сканирование портов: выданный вам публичный порт найдут автоматические сканеры (Shodan, Censys, Masscan). Разведывательный трафик появится в течение часов;
- Нет сетевой изоляции: туннель обходит ваш локальный файрвол, NAT и сетевые политики. Сервис, который был защищён периметром сети, становится доступен напрямую;
- Туннель живёт, пока его не закрыли: забытый туннель держит ваш сервис открытым неограниченно долго;
- Общая инфраструктура: fxtun — общая платформа. Мы разделяем трафик туннелей, но публичные IP-адреса и диапазоны портов — общий ресурс;
- Доступность сервиса: работа туннеля зависит от доступности инфраструктуры fxtun. Не полагайтесь на туннели в продакшене и в критически важных задачах.
5. Рекомендуемые меры защиты
Прежде чем открыть сервис через TCP- или UDP-туннель, настоятельно рекомендуем:
- Аутентификация: убедитесь, что сервис требует надёжных учётных данных. Никогда не открывайте сервисы со стандартными или пустыми паролями;
- Шифрование: по возможности используйте TLS/SSL для TCP-сервисов, для UDP — DTLS или шифрование на уровне приложения;
- Ограничение по адресам: если сервис умеет ограничивать доступ по IP — включите это даже при работе через туннель;
- Наблюдение: следите за подключениями и трафиком, активные туннели видны в панели fxtun;
- Минимум открытого: открывайте только нужный сервис и только нужный порт. Закрывайте туннель, когда он больше не нужен;
- Ограничение частоты запросов: настройте лимиты на своём сервисе, чтобы осложнить перебор паролей и злоупотребления;
- Обновления: держите открытые сервисы обновлёнными.
6. Отказ от ответственности
fxtun предоставляет инфраструктуру туннелирования «как есть» и «по мере доступности». Мы не:
- Фильтруем, разбираем и проверяем трафик, проходящий через TCP- и UDP-туннели;
- Предоставляем обнаружение и предотвращение вторжений, а также услуги файрвола;
- Гарантируем защиту от атак, несанкционированного доступа и утечек данных;
- Отвечаем за то, как настроена безопасность ваших локальных сервисов.
За безопасность сервисов, которые вы открываете через fxtun, отвечаете только вы. Используя TCP- и UDP-туннели, вы принимаете описанные риски и всю ответственность за последствия, включая, помимо прочего, несанкционированный доступ, потерю данных, перерывы в работе и претензии третьих лиц.
Полные условия ответственности — в разделах 11 и 12 Условий использования.
7. Сообщения о нарушениях
Если вы заметили подозрительную или вредоносную активность со стороны инфраструктуры fxtun, сообщите нам через страницу Сообщить о нарушении.