Wolkvuurmuur teenoor gasheervuurmuur vir ’n VPN-bediener

Laat die VPN-poort toe in die wolkbeleid, en die handdruk kan steeds op die instansie sterf: die gasheer het sy eie filter en sy eie luisteraarbinding, en enigeen van die twee kan weggooi wat die wolk goedgekeur het. Die omgekeerde gebeur ook, wanneer ’n reël op die gasheer die poort toelaat en ’n beleid hoër op dit eerste laat val. Twee eienaars, twee stelle reëls, een pakketpad. Volg dit in orde eerder as om by die mees verdagte laag te raai.

Begin by die rand en beweeg inwaarts

Die orde is vas: publieke eindpunt, hulpbronkoppelvlak, aangehegte wolkbeleid, gasheeradres, prosesluisteraar, plaaslike insetreëls. Elke stadium laat die pakket deur of beëindig die ondersoek, en daarom mors 'n mens die meeste tyd as jy by die gasheer begin.

Deurgestuurde kliëntverkeer is ’n aparte stadium wat ondersoek word nadat die tonnel gedekapsuleer is. Die wolklaag sien net die buitenste tonnel, so dit kan ’n verbinding goedkeur en steeds niks met ’n interne diensversoek te doen hê nie. ’n Tonnel wat verbind maar nie ’n interne gasheer kan bereik nie, dui gewoonlik op deurstuur, nie op ’n geslote poort nie.

Lees die wolkbeleid voordat jy aan die gasheer raak

Bevestig die inkomende reël vir die VPN-poort, sy protokol en die bronbestek wat by jou toetskliënt pas. Kyk ook na die subnet-toegangsbeheelys: ’n tweede filter met sy eie reëls en verstekke. Beide moet die vloei toelaat voordat ’n pakket die instansie bereik. ’n Toelating in die een en ’n weiering in die ander is die gewone vorm van hierdie fout.

Vernou die bestek tot dit iets beteken. Om die VPN-poort vir die hele internet oop te maak, is maklik om te bewys en moeilik om te verdedig, terwyl ’n reël wat aan een adres vasgepen is, breek wanneer jou toetskliënt van netwerk verander. Noteer die reëlidentifiseerder en die beleidseienaar, sodat die volgende verandering na ’n persoon herlei kan word.

Bevestig die luisteraar, dan die insetketting

Kyk op die instansie of die VPN-proses aan die adres en poort gebind is wat jy verwag, byvoorbeeld met ss -lntp 'sport = :1194'. ’n Daemon wat net aan 127.0.0.1 gebind is, aanvaar plaaslike kliënte en niks deur die tonnel nie, wat van buite presies soos ’n gefiltreerde poort lyk.

Lees dan die plaaslike reëls in die sintaksis wat jy sou gebruik om hulle te verander, soos iptables -S INPUT of nft list chain inet filter input. ’n Reël wat in ’n lêer geskryf maar nooit gelaai is nie, of ’n verstek-drop sonder ’n passende toelating, gooi pakkette stilweg weg. Vir ’n deurstuurgateway moet jy ook die deurstuur- en terugpadinstellings nagaan. Hulle bepaal wat met pakkette gebeur wat deur die instansie gerouteer word eerder as aan dit geadresseer.

Toestandvol in een laag, toestandloos in die volgende

Sekuriteitsgroepe onthou die vloei wat hulle toegelaat het en laat die response terug in. Subnet-toegangsbeheelyste en baie gasheervuurmure hou nie sulke toestand nie, so ’n reël wat net die uitgaande rigting dek, laat die versoek deur en laat die antwoord val. Moet nooit ’n aanname oor terugkeerverkeer tussen lae dra sonder om die reël van die tweede laag te lees nie.

Tellers beslis dit vinniger as om elke reël in die rekening te lees. ’n Telling wat klim, beteken die pakket het daar aangekom en is daar laat val, terwyl een wat op nul gevries is, beteken dit het nooit so ver gekom nie; iptables -vnL INPUT en nft list ruleset wys daardie tellings wanneer die reëls met tellers gelaai is.

Toets met ’n nuwe sessie, nie ’n lewendige een nie

Los die bronnetwerk en die toetsprofiel ongemoeid terwyl jy die vertonings vergelyk, en maak ná elke verandering ’n nuwe verbinding oop. Om die webkonsole op 443 te bereik sê niks oor of die VPN-daemon aan 1194 gebind is nie, so toets die poort wat jy nodig het. ’n Bestaande sessie is hier die slegste getuie. Dit bly werk terwyl elke nuwe aanmelding verwerp word.

Voordat jy ’n afgeleë beleid wysig, sorg vir ’n terugweg wat nie van die pad afhang wat jy verander nie. Maak dan ’n tweede administrasiesessie langs die VPN-toets oop: een wat vroeër gevestig is, kan die reël wat nuwe verbindings blokkeer, oorleef. Teken albei eienaars van die beleid aan, sodat geen herbou die helfte van die pad herstel nie; as albei lae saamstem en die tonnel steeds faal, vang by die gasheerkoppelvlak en kyk watter adres en poort die kliënt werklik gebruik.