VPN serveri üçün bulud firewall-u host firewall-u ilə müqayisədə

Bulud siyasətində VPN portuna icazə verin, amma əl sıxışması hələ də instansiyada ölə bilər: qonaq öz filtrini və öz dinləyici bağlamasını işlədir və hər ikisi buludun təsdiqlədiyini ata bilər. Əksi də olur: host qaydası porta icazə verir, yuxarı axın siyasəti isə onu əvvəl atır. İki sahib, iki qayda dəsti, bir paket yolu. Ən şübhəli təbəqədə təxmin etmək əvəzinə onu sıra ilə gəzin.

Kənardan başlayın və içəriyə doğru gedin

Sıra sabitdir: ictimai son nöqtə, resurs interfeysi, bağlı bulud siyasəti, qonaq ünvanı, proses dinləyicisi, yerli giriş qaydaları. Hər mərhələ paketi ya keçirir, ya da araşdırmanı bitirir; buna görə qonaqdan başlamaq ən çox vaxt itkisi verir.

Yönləndirilmiş müştəri trafiki ayrı mərhələdir və tunel deşifrə edildikdən sonra yoxlanılır. Bulud qatı yalnız xarici tuneli görür, yəni o, bağlantını təsdiqləyə və eyni zamanda daxili xidmət sorğusu ilə heç bir əlaqəsi olmaya bilər. Bağlanan, lakin daxili hosta çata bilməyən tunel adətən bağlı porta deyil, yönləndirməyə işarə edir.

Qonağa toxunmadan əvvəl bulud siyasətini oxuyun

VPN portu üçün giriş qaydasını, onun protokolunu və test müştərinizə uyğun mənbə əhatəsini təsdiqləyin. Alt şəbəkə giriş nəzarəti siyahısına da baxın: öz qaydaları və standartları olan ikinci filtr. Paket instansiyaya çatmazdan əvvəl hər ikisi axına icazə verməlidir. Birində icazə, digərində rədd — bu xətanın adi formasıdır.

Əhatəni məna daşıyana qədər daraldın. VPN portunu bütün internetə açmaq sübut etmək asan, müdafiə etmək çətindir; bir ünvana bərkidilmiş qayda isə test müştəriniz şəbəkə dəyişdikdə pozulur. Qayda identifikatorunu və siyasət sahibini qeyd edin ki, növbəti dəyişiklik konkret şəxsə bağlansın.

Əvvəlcə dinləyicini, sonra giriş zəncirini təsdiqləyin

İnstansiyada VPN prosesinin gözlədiyiniz ünvana və porta bağlandığını yoxlayın, məsələn ss -lntp 'sport = :1194' ilə. Yalnız 127.0.0.1-ə bağlanmış demon yerli müştəriləri qəbul edir və tuneldən heç nə qəbul etmir; bu isə xaricdən tam olaraq filtrlənmiş port kimi görünür.

Sonra yerli qaydaları dəyişmək üçün istifadə edəcəyiniz sintaksisdə oxuyun, məsələn iptables -S INPUT və ya nft list chain inet filter input. Fayla yazılmış, lakin heç vaxt yüklənməmiş qayda və ya uyğun icazəsi olmayan standart atma paketləri səssizcə atır. Yönləndirici şlüz üçün yönləndirmə və tərs yol parametrlərini də yoxlayın. Onlar instansiyadan keçən, ona ünvanlanmayan paketlərlə nə olacağını müəyyən edir.

Bir qatda vəziyyətli, növbətində vəziyyətsiz

Təhlükəsizlik qrupları icazə verdikləri axınları yadda saxlayır və cavabları içəri buraxır. Alt şəbəkə giriş nəzarəti siyahıları və bir çox host firewall-u belə vəziyyət saxlamır, buna görə yalnız çıxış istiqamətini əhatə edən qayda sorğunu keçirir, cavabı isə atır. İkinci qatın qaydasını oxumadan qatlar arasında qayıdış trafiki fərziyyəsini heç vaxt daşımayın.

Sayğaclar məsələni hesabdakı hər qaydanı oxumaqdan tez həll edir. Artan sayğac paketin oraya çatdığını və orada atıldığını, sıfırda donmuş sayğac isə o qədər uzağa heç getmədiyini bildirir; iptables -vnL INPUT və nft list ruleset qaydalar sayğaclarla yükləndikdə həmin göstəriciləri göstərir.

Canlı sessiya ilə deyil, təzə sessiya ilə sınaqdan keçirin

Görünüşləri müqayisə edərkən mənbə şəbəkəsini və test profilini dəyişməyin və hər dəyişiklikdən sonra yeni bağlantı açın. 443 portunda veb konsoluna çatmaq VPN'in demonunun 1194-ə bağlı olub-olmadığı barədə heç nə demir, ona görə lazım olan portu sınaqdan keçirin. Mövcud sessiya burada ən pis şahiddir. Hər yeni giriş rədd edilərkən o, işləməyə davam edir.

Uzaq siyasəti redaktə etməzdən əvvəl dəyişdirdiyiniz yoldan asılı olmayan geri dönüş yolu hazırlayın. Sonra VPN testinin yanında ikinci inzibati sessiya açın: əvvəl qurulmuş sessiya yenilərini bloklayan qaydadan daha uzun yaşaya bilər. Hər iki siyasətin sahibini qeyd edin ki, heç bir yenidənqurma yolun yarısını bərpa etməsin; əgər hər iki qat razılaşır, tunel isə yenə də uğursuz olursa, qonaq interfeysində tutun və müştərinin həqiqətən istifadə etdiyi ünvanı və portu yoxlayın.