تشغيل VPN وموقع ويب على مضيف واحد دون تعارضات

عند مشاركة مضيف واحد بين موقع عام وشبكة VPN فإنك ترث سؤالين لا سؤالًا واحدًا: ما الذي يستمع وأين، ومن يوثّق من. أجب عن السؤالين قبل أن تلمس ملف إعداد، لأن القيم الافتراضية خاطئة بطرق لا تظهر إلا تحت الحمل. صفحة تُحمَّل عبر HTTPS تثبت أن مستمع الويب يستجيب، ولا تثبت شيئًا عن مستمع الأقران. ما يلي هو ترتيب قرارات يمنع الاثنين من أن يأكلا بعضهما.

قرّر ما يستمع على أي عنوان وأي نقل

اكتب جدولًا بثلاثة أعمدة: العنوان والنقل والمنفذ، وسطرًا واحدًا لكل خدمة، بما في ذلك الواجهة الإدارية. لا يُعد TCP 443 للموقع و UDP 443 لشبكة VPN تعارضًا حتى لو تطابقت الأرقام، لأن النقل مختلف. الخدمتان على العنوان نفسه والنقل نفسه والمنفذ نفسه تحتاجان إلى ترتيب توثّقه طريقة التنفيذ، لا ترتيب تبتكره أثناء انقطاع. ذلك الجدول هو أيضًا الأثر الذي يجعل التغيير التالي قابلًا للمراجعة.

عناوين منفصلة أو منفذ ثانٍ يجعلان الملكية مرئية في التقاط الحزم، وهذا أثمن من الأناقة. بعض تطبيقات VPN تدعم مشاركة منفذ مع خادم ويب، لكن الآلية محددة: يفحص البرنامج الخفي البايتات الأولى ويوجّه حركة المرور التي ليست من بروتوكوله. الوسيط العكسي العام لـ HTTP لا يفعل ذلك، وإعادة كتابة الترويسات لن تجعله يفهم مصافحة نفق مشفّرة. اقرأ ملاحظات النشر الخاصة بالبروتوكول، مثل توثيق مستمع OpenVPN، واتبع الترتيب الذي يصفه.

قرّر أي هوية تنتمي إلى أي خدمة

شهادة المتصفح وبيان اعتماد قرين VPN كائنان مختلفان بنماذج ثقة مختلفة. يجري التحقق من شهادة الويب من قبل جهة عامة وتسمّي اسم مضيف، بينما يوثّق بيان اعتماد القرين جهازًا أو مستخدمًا لدى المجمّع وقد يكون موقّعًا ذاتيًا أو صادرًا داخليًا. إعادة استخدام أحدهما كالآخر تعمل في حالات ضيقة ونادرًا ما تستحق هذا الارتباط. تعطيل التحقق حتى تناسب شهادة مشتركة ليس خطة فصل؛ إنه يزيل الفحص الذي أعطى بيان الاعتماد معناه.

أبقِ المخزنين مستقلين واكتب أي جهة تصدر كلًا منهما. عندما يُدوَّر أحدهما، لا ينبغي أن يحتاج الآخر إلى تغيير، وإن احتاج، فالارتباط هو ما يجب إصلاحه.

قرّر أين تعيش الإدارة

تنتمي الواجهة الإدارية لشبكة VPN إلى مسار إدارة، لا إلى المستمع العام أبدًا، حتى عندما يخدم المضيف الإنترنت بالفعل. خادم ويب على 443 لا يعني أن وحدة تحكم الأقران يجب أن تكون قابلة للوصول من أي مكان، ووحدة التحكم عادةً هي الهدف الأعلى قيمة. اربطها بعنوان استرجاع (loopback) أو عنوان إدارة، وقيّدها حسب المصدر، واحتفظ بمسار استرداد لا يعتمد على أن النفق قائم. مسار الاسترداد مهم لأن الفشل الشائع هو أن تقفل نفسك بالخارج أثناء إصلاح القفل.

اكتب قواعد جدار ناري ضيقة، واحدة لكل مستمع، وسمِّ الواجهة أو حساب الخدمة حيث تدعم المنصة ذلك. القواعد الواسعة التي تفتح المضيف لأن الموقع يحتاج 443 هي الطريقة التي تنتهي بها الواجهات الإدارية في فهارس الماسحات.

راجع تلك القواعد مقابل جدول المستمعين كلما أضيفت خدمة. المراجعة رخيصة وتلتقط القاعدة التي أضافها أحدهم في الثانية صباحًا.

قرّر ما تفعله عندما يتنازع الاثنان

مشاركة مضيف تعني مشاركة المعالج والذاكرة وواصفات الملفات والنطاق الترددي، والمورد المتنازع عليه ليس دائمًا هو الواضح. قد يملأ موقع مزدحم جدول الاتصالات، أو يستنفد خانات العمال، أو يدفع طابور القرص بقوة تكفي لتعطيل تسجيل VPN. راقب الاستخدام لكل خدمة بدلًا من إجماليات المضيف، لأن المتوسط يخفي أي عملية تتضور جوعًا. إذا عطّل حمل عمل واحد الآخر بشكل متكرر، فاعزلهما بدلًا من الضبط حول العَرَض.

يمكن أن يكون العزل حاوية، أو حد cgroup، أو طابورًا منفصلًا، أو مضيفًا ثانيًا، والاختيار الصحيح يعتمد على المورد الذي يتنازع. تغيير المنفذ لا يصلح شيئًا هنا، والنسخة الأكبر لا تصلح شيئًا إذا كان الحد طابورًا واحدًا مشبعًا. قرّر بقياس: سمِّ المورد، وحمّله، ثم اختر أصغر عزل يزيل التنازع.

تحقّق من الخارج، ثم مرة أخرى بعد إعادة التشغيل

اختبر من جهاز ليس على شبكة المضيف نفسها: حمّل الموقع، وأقم النفق، وصولًا إلى مورد واحد يتطلبه. ثم أعد تشغيل كل خدمة على حدة وكرّر الاختبار الآخر، لأن إعادة التشغيل هي حين تفقد ترتيب المستمع المشترك تسلسله. إذا بدأت شبكة VPN قبل خادم الويب الذي يملك المنفذ المشترك، فقد لا ترتبط آلية المشاركة أبدًا، والعَرَض هو نفق كان يعمل أمس. اجعل التبعية صريحة في ترتيب الوحدات.

ثم أكّد الحدود: الموقع يستجيب على منفذه، وشبكة VPN تستجيب على منفذها، والواجهة الإدارية تستجيب فقط من مسار الإدارة. سجّل النتيجة بجانب جدول المستمعين مع التاريخ. المضيف الذي يجتاز الفحوص الثلاثة بعد إعادة تشغيل هو مضيف يمكنك تسليمه لشخص آخر دون إحاطة.