VPN dinləyicisini nəzərdə tutduğunuz interfeyslərlə məhdudlaşdırın
Wildcard dinləyici ilə firewall qaydası fərqli idarəetmə vasitələridir. Faktiki soketləri ss ilə oxuyun, sonra ünvan ailəsini və firewall-u yoxlayın.
VPN xidməti soketinin bağlandığı və firewall-un icazə verdiyi hər yerdən əlçatandır. Bunlar iki ayrı qərardır və insanlar adətən yalnız birini verirlər. Faktiki dinləyicini oxumaq on saniyə çəkir və təxminlə həll olunmayan bir sualı həll edir. Oradan başlayın, sonra bir anda bir idarəetmə elementini dəyişin.
Aşağıdakıların hamısı hostda root və ya sudo ilə əmrləri işə sala bildiyinizi fərz edir.
Heç nəyi dəyişməzdən əvvəl soketləri oxuyun
Linux-da ss -lunp UDP dinləyicilərini yerli ünvanı, portu və prosesi ilə siyahıya alır, ss -ltnp isə TCP üçün eyni işi görür. VPN-in portunu axtarın və ünvan sütununu diqqətlə oxuyun. 0.0.0.0:51820 və [::]:51820 bütün interfeyslər deməkdir, 10.0.0.5:51820 isə bir interfeysdə bir ünvan deməkdir. Çıxış tanış deyilsə, ss təlimatı sütunları sənədləşdirir. Proses adı yoxdursa, eyni əmri sudo ilə işə salın, çünki sahib sütunu imtiyaz tələb edir.
Ünvanı yazın. Bu, bu runbook-un qalan hissəsinin asılı olduğu faktdır.
Arzuya deyil, ünvana bağlanın
OpenVPN-in local direktivi dinləyicini müəyyən bir ünvana bağlayır və bu, onu proses səviyyəsində məhdudlaşdırmağın dəstəklənən yoludur. Hər tətbiq ekvivalent təklif etmir və bağlama seçimi olmayan protokolu bu yolla daraltmaq mümkün deyil. Əgər sizinkində yoxdursa, firewall yeganə idarəetmə vasitənizdir və yerləşdirmə qeydləri bunu açıq şəkildə deməlidir. Bir neçə ünvanı olan hostda tunelə baxan ünvana bağlanın; üzən ünvana bağlanmaq adətən səhvdir.
Ünvan dəyişikliyinə tab gətirməli xidmət köhnəlmiş bağlama üçün plan tələb edir, sadəcə konfiqurasiya sətri deyil.
Ünvan ailəsini ayrıca yoxlayın
IPv4 və IPv6 ayrı soketlərdir. 0.0.0.0 ünvanına bağlanmış proses yenə də ikili yığımlı soket vasitəsilə IPv6 qəbul edə bilər və ya etməyə bilər; bu, soket seçimindən və platformanın standartından asılıdır. Yalnız IPv4 sətrini oxumaq birdən çox yerləşdirmə baxışını çaşdırıb. Dinləyicinin dar olduğu qənaətinə gəlməzdən əvvəl hər iki ailəni siyahıya alın.
IPv6 dizaynın bir hissəsi deyilsə, onu soket səviyyəsində söndürmək firewall-un onu əhatə edəcəyinə ümid etməkdən daha təmizdir. Bu siyasət qərarıdır, ona görə də onu interfeys seçimlərinin qalanı ilə birlikdə qeyd edin.
Firewall-u bağlamanın üzərinə qatlayın
Dar bağlama firewall qaydasını əvəz etmir və firewall qaydası wildcard bağlamanı daraltmır. Hər ikisini istifadə edin: tətbiqin dəstəklədiyi yerdə bağlayın, sonra porta yalnız ona çatmalı mənbələrdən icazə verin. Bulud təhlükəsizlik qrupları host firewall-unun qarşısında durur, ona görə də yol VPC sərhədini keçdikdə hər ikisini yoxlayın. Effektiv qayda ikisinin kəsişməsidir və hər qat yalnız əlçatanlığı azalda bilər.
İcazə verilən mənbədən və qəsdən xaric edilmiş mənbədən sınaqdan keçirin. localhost-dan bağlantı ictimai sərhəd haqqında heç nə sübut etmir.
Nə seçdiyinizi qeyd edin
Bağlanmış ünvanı, ona sahib olan interfeysi, firewall qaydasını və məqsədini yazın. Dəyişdirilmiş NIC və ya yenidən təyin edilmiş bulud ünvanı, heç kim profili redaktə etmədən məruz qalmanı dəyişə bilər. Qeydə tarix qoyun, çünki bulud ünvanları baxışlar arasında insanların gözlədiyindən daha tez-tez dəyişir.
Məhz bu qeyd növbəti baxışı arxeologiya layihəsi yerinə müqayisəyə çevirir.