حدّد مستمع VPN على الواجهات التي تقصدها

خدمة VPN قابلة للوصول من أي مكان يكون فيه مقبسها مربوطًا ويسمح جدار الحماية بذلك. هذان قراران منفصلان، وغالبًا ما يتخذ الناس واحدًا منهما فقط. قراءة المستمع الفعلي تستغرق عشر ثوانٍ وتحسم سؤالًا لا يستطيع التخمين حسمه. ابدأ من هناك، ثم غيّر أداة تحكم واحدة في كل مرة.

كل ما يلي يفترض أنك تستطيع تشغيل الأوامر على المضيف بصلاحية root أو sudo.

اقرأ المقابس قبل أن تغيّر أي شيء

على Linux، يسرد ss -lunp مستمعات UDP مع عنوانها المحلي ومنفذها وعمليتها، ويفعل ss -ltnp الشيء نفسه مع TCP. ابحث عن منفذ VPN واقرأ عمود العنوان بعناية. يعني 0.0.0.0:51820 و [::]:51820 كل الواجهات، بينما يعني 10.0.0.5:51820 عنوانًا واحدًا على واجهة واحدة. يوثّق دليل ss الأعمدة إذا كان الناتج غير مألوف. إذا كان اسم العملية مفقودًا، فشغّل الأمر نفسه باستخدام sudo، لأن عمود المالك يحتاج إلى امتياز.

اكتب العنوان. فهو الحقيقة التي يعتمد عليها بقية هذا الدليل.

اربط بعنوان، لا برغبة

توجيه OpenVPN المسمّى local يربط المستمع بعنوان محدد، وهذه هي الطريقة المدعومة لتحديد نطاقه على مستوى العملية. ليست كل عملية تنفيذ تقدّم ما يعادلها، والبروتوكول الذي لا يملك خيار ربط لا يمكن تضييقه بهذه الطريقة. إذا لم يكن لديك أي منها، فإن جدار الحماية هو أداتك الوحيدة للتحكم، ويجب أن تنص ملاحظات النشر على ذلك بوضوح. على مضيف بعناوين متعددة، اربط بالعنوان المواجه للنفق؛ الربط بعنوان متغيّر هو عادةً خطأ.

الخدمة التي يجب أن تصمد أمام تغيّر العنوان تحتاج إلى خطة للربط القديم، لا إلى سطر إعداد فقط.

افحص عائلة العنوان بشكل منفصل

IPv4 وIPv6 مقبسان منفصلان. قد تقبل عملية مربوطة بـ 0.0.0.0 عنوان IPv6 عبر مقبس مزدوج الحزمة، أو قد لا تقبل، وفقًا لخيار المقبس والافتراضي في المنصة. قراءة سطر IPv4 وحده قد خدعت أكثر من مراجعة نشر واحدة. اسرد العائلتين قبل أن تستنتج أن المستمع ضيّق.

إذا لم يكن IPv6 جزءًا من التصميم، فتعطيله على مستوى المقبس أنظف من الأمل في أن يغطيه جدار الحماية. هذا قرار سياسة، لذا سجّله مع بقية خيارات الواجهة.

ضع جدار الحماية فوق الربط

الربط الضيّق لا يحل محل قاعدة جدار الحماية، وقاعدة جدار الحماية لا تضيّق ربط wildcard. استخدم الاثنين: اربط حيث تدعم عملية التنفيذ ذلك، ثم اسمح بالمنفذ فقط من المصادر التي ينبغي أن تصل إليه. توجد مجموعات أمان السحابة أمام جدار حماية المضيف، لذا افحص الاثنين عندما يعبر المسار حدود VPC. القاعدة الفعالة هي تقاطع الاثنين، وكل طبقة يمكنها فقط خصم إمكانية الوصول.

اختبر من مصدر مسموح به ومن مصدر مستبعد عمدًا. الاتصال من localhost لا يثبت شيئًا عن الحدود العامة.

سجّل ما اخترته

اكتب العنوان المربوط، والواجهة التي تملكه، وقاعدة جدار الحماية والغرض منها. يمكن أن يغيّر NIC بديل أو عنوان سحابي معاد تعيينه التعرّض دون أن يعدّل أحد الملف الشخصي. أضف التاريخ إلى الملاحظة، لأن عناوين السحابة تتحرك بين المراجعات أكثر مما يتوقع الناس.

هذه الملاحظة هي التي تجعل المراجعة التالية مقارنة بدلًا من مشروع تنقيب أثري.