Bestuur ’n VPN en ’n webwerf op een gasheer sonder botsings

Deel een gasheer tussen ’n openbare webwerf en ’n VPN, en jy erf twee vrae, nie een nie: wat luister waar, en wie verifieer wie. Beantwoord albei voordat jy aan ’n konfigurasielêer raak, want die verstekwaardes is verkeerd op maniere wat eers onder las sigbaar word. ’n Bladsy wat oor HTTPS laai, bewys dat die web-luisteraar antwoord en niks oor die eweknie-luisteraar nie. Wat volg, is ’n beslissingsorde wat keer dat die twee mekaar opvreet.

Besluit wat op watter adres en vervoer luister

Skryf ’n tabel met drie kolomme, adres, vervoer en poort, en een ry per diens, insluitend die administratiewe koppelvlak. TCP 443 vir die webwerf en UDP 443 vir die VPN is nie ’n botsing nie, selfs al stem die nommers ooreen, want die vervoer verskil. Twee dienste op dieselfde adres, vervoer en poort het ’n reëling nodig wat die implementering dokumenteer, nie een wat jy tydens ’n onderbreking uitdink nie. Daardie tabel is ook die artefak wat die volgende verandering hersienbaar maak.

Aparte adresse of ’n tweede poort maak eienaarskap sigbaar in ’n pakkie-opname, wat meer werd is as elegansie. Sommige VPN-implementerings ondersteun die deel van ’n poort met ’n webbediener, maar die meganisme is spesifiek: die daemon ondersoek die eerste grepe en stuur verkeer aan wat nie sy eie protokol is nie. ’n Generiese omgekeerde instaanbediener vir HTTP doen dit nie, en die herskryf van kopers sal dit nie ’n geënkripteerde tonnel-handdruk laat verstaan nie. Lees die protokol se ontplooiingsnotas, soos die OpenVPN-luisteraardokumentasie, en volg die reëling wat dit beskryf.

Besluit watter identiteit aan watter diens behoort

’n Blaaier-sertifikaat en ’n VPN-eweknie-getuigskap is verskillende objekte met verskillende vertrouensmodelle. Die web-sertifikaat word deur ’n openbare owerheid gevalideer en noem ’n gasheernaam, terwyl die eweknie-getuigskap ’n toestel of ’n gebruiker by die konsentrator verifieer en selfondertekend of intern uitgereik kan wees. Om een as die ander te hergebruik werk in nou gevalle en is selde die koppeling werd. Om verifiëring af te skakel sodat ’n gedeelde sertifikaat pas, is nie ’n skeidingsplan nie; dit verwyder die kontrole wat die getuigskap betekenis gegee het.

Hou die twee store onafhanklik en skryf neer watter owerheid elkeen uitreik. Wanneer een geroteer word, behoort die ander nie te hoef te verander nie, en as dit wel gebeur, is die koppeling die ding om reg te maak.

Besluit waar administrasie woon

Die administratiewe koppelvlak van die VPN hoort op ’n bestuurspad, nooit op die openbare luisteraar nie, selfs wanneer die gasheer reeds die internet bedien. ’n Webbediener op 443 impliseer nie dat die eweknie-konsole van enige plek bereikbaar moet wees nie, en die konsole is gewoonlik die teiken met hoër waarde. Bind dit aan ’n loopback- of bestuursadres, beperk dit volgens bron, en hou ’n herstelpad wat nie daarvan afhang dat die tonnel op is nie. Die herstelpad maak saak omdat die algemene faling is om jouself uit te sluit terwyl jy die uitsluiting regmaak.

Skryf noue brandmuurreëls, een per luisteraar, en noem die koppelvlak of diensrekening waar die platform dit ondersteun. Breë reëls wat die gasheer oopmaak omdat die webwerf 443 nodig het, is hoe bestuurskoppelvlakke in skandeerder-indekse beland.

Hersien daardie reëls teen die luisteraartabel wanneer ’n diens bygevoeg word. Die hersiening is goedkoop en dit vang die reël wat iemand twee-uur in die oggend bygevoeg het.

Besluit wat om te doen wanneer die twee meeding

Om ’n gasheer te deel beteken om CPU, geheue, lêerbeskrywers en bandwydte te deel, en die betwiste hulpbron is nie altyd die ooglopende een nie. ’n Besige webwerf kan die verbindingstabel vul, werkergleuwe uitput, of die skyfry hard genoeg druk dat VPN-logging vasval. Kyk na gebruik per diens eerder as gasheer-totale, want ’n gemiddelde verberg watter proses honger ly. As een werklading die ander herhaaldelik ontwrig, isoleer hulle eerder as om rondom die simptoom te stel.

Isolasie kan ’n houer, ’n cgroup-limiet, ’n aparte ry of ’n tweede gasheer wees, en die regte keuse hang daarvan af watter hulpbron meeding. ’n Poortverandering maak hier niks reg nie, en ’n groter instansie maak niks reg as die limiet een versadigde ry is. Besluit met ’n meting: noem die hulpbron, laai dit, en kies dan die kleinste isolasie wat die mededinging verwyder.

Verifieer van buite, dan weer ná ’n herbegin

Toets vanaf ’n toestel wat nie op die gasheer se eie netwerk is nie: laai die webwerf, bring die tonnel op, en bereik een hulpbron wat dit vereis. Herbegin dan elke diens op sy eie en herhaal die ander toets, want ’n herbegin is wanneer ’n gedeelde luisteraar-reëling sy ordening verloor. As die VPN begin voor die webbediener wat die gedeelde poort besit, sal die deelmeganisme dalk nooit aankoppel nie, en die simptoom is ’n tonnel wat gister gewerk het. Maak die afhanklikheid eksplisiet in die eenheid-ordening.

Bevestig dan die grense: die webwerf antwoord op sy poort, die VPN antwoord op sy eie, en die bestuurskoppelvlak antwoord slegs vanaf die bestuurspad. Teken die resultaat langs die luisteraartabel met die datum aan. ’n Gasheer wat al drie kontroles ná ’n herbegin slaag, is ’n gasheer wat jy aan iemand anders kan oorhandig sonder ’n inligtingsessie.