Bir hostda VPN və veb saytı toqquşma olmadan işlətmək

Bir hostu ictimai sayt və VPN arasında bölüşəndə bir deyil, iki sual miras qalır: nə harada dinləyir və kim kimi autentifikasiya edir. Konfiqurasiya faylına toxunmadan əvvəl hər ikisinə cavab verin, çünki standart dəyərlər yalnız yük altında görünən şəkildə səhvdir. HTTPS ilə açılan səhifə veb dinləyicinin cavab verdiyini sübut edir və həmkar dinləyicisi barədə heç nə demir. Bundan sonrası ikisinin bir-birini yeməsinin qarşısını alan qərar sırasıdır.

Hansı ünvan və nəqliyyat üzərində nəyin dinlədiyini qərarlaşdırın

Üç sütunlu cədvəl yazın: ünvan, nəqliyyat və port, və hər xidmət üçün bir sətir, inzibati interfeys də daxil olmaqla. Sayt üçün TCP 443 və VPN üçün UDP 443 rəqəmlər üst-üstə düşsə də toqquşma deyil, çünki nəqliyyat fərqlidir. Eyni ünvan, nəqliyyat və portda iki xidmət tətbiqin sənədləşdirdiyi bir razılaşma tələb edir, kəsinti zamanı uydurduğunuz bir razılaşma deyil. Həmin cədvəl növbəti dəyişikliyi yoxlanıla bilən edən artefaktdır.

Ayrı ünvanlar və ya ikinci port paket tutma zamanı sahibliyi görünən edir və bu zəriflikdən daha dəyərlidir. Bəzi VPN tətbiqləri portu veb serverlə bölüşməyi dəstəkləyir, lakin mexanizm xüsusidir: demon ilk baytları yoxlayır və öz protokoluna aid olmayan trafiki yönləndirir. Ümumi HTTP tərs proksisi bunu etmir və başlıqları yenidən yazmaq onu şifrələnmiş tunel əl sıxmasını başa düşən etməyəcək. Protokolun yerləşdirmə qeydlərini oxuyun, məsələn OpenVPN dinləyici sənədləri, və təsvir etdiyi razılaşmaya əməl edin.

Hansı kimliyin hansı xidmətə aid olduğunu qərarlaşdırın

Brauzer sertifikatı və VPN həmkarı etimadnaməsi fərqli etimad modelləri olan fərqli obyektlərdir. Veb sertifikatı ictimai orqan tərəfindən təsdiqlənir və host adını göstərir, həmkar etimadnaməsi isə cihazı və ya istifadəçini konsentratora autentifikasiya edir və özü imzalanmış və ya daxildə verilmiş ola bilər. Birini digəri kimi təkrar istifadə dar hallarda işləyir və nadir hallarda bu bağlantıya dəyər. Ortaq sertifikat uyğun gəlsin deyə yoxlamanı söndürmək ayrılıq planı deyil; etimadnaməyə məna verən yoxlamanı aradan qaldırır.

İki anbarı müstəqil saxlayın və hansı orqanın hər birini verdiyini yazın. Biri dəyişdirildikdə digərinin dəyişməsinə ehtiyac olmamalıdır və əgər olursa, düzəldilməli olan şey bağlantıdır.

İdarəetmənin harada yaşadığını qərarlaşdırın

VPN-in inzibati interfeysi idarəetmə yolunda olmalıdır, heç vaxt ictimai dinləyicidə deyil, hətta host artıq internetə xidmət etsə belə. 443 üzərində veb server həmkar konsolunun hər yerdən əlçatan olması demək deyil və konsol adətən daha dəyərli hədəfdir. Onu loopback və ya idarəetmə ünvanına bağlayın, mənbəyə görə məhdudlaşdırın və tunelin qalxmasından asılı olmayan bərpa yolu saxlayın. Bərpa yolu vacibdir, çünki ümumi nasazlıq kilidi düzəldərkən özünüzü kilidləməkdir.

Dar firewall qaydaları yazın, hər dinləyici üçün bir, platforma dəstəklədiyi yerdə interfeysi və ya xidmət hesabını göstərin. Sayt 443 tələb edir deyə hostu açan geniş qaydalar idarəetmə interfeyslərinin skaner indekslərinə düşmə üsuludur.

Hər xidmət əlavə olunanda bu qaydaları dinləyici cədvəli ilə yenidən nəzərdən keçirin. Bu nəzərdən keçirmə ucuzdur və kimsənin gecə ikidə əlavə etdiyi qaydanı tutur.

İkisi toqquşduqda nə etmək lazım olduğunu qərarlaşdırın

Hostu bölüşmək CPU, yaddaş, fayl deskriptorları və zolaq genişliyini bölüşmək deməkdir və mübahisəli resurs həmişə aşkar olan deyil. Məşğul sayt bağlantı cədvəlini doldura, işçi yuvalarını tükədə və ya disk növbəsini VPN jurnalının dayanacağı qədər sıxa bilər. Host cəmləri əvəzinə hər xidmətin istifadəsini izləyin, çünki orta dəyər hansı prosesin ac qaldığını gizlədir. Bir iş yükü digərini təkrar pozursa, simptom ətrafında tənzimləmə əvəzinə onları təcrid edin.

Təcrid konteyner, cgroup limiti, ayrı növbə və ya ikinci host ola bilər və düzgün seçim hansı resursun mübahisə etdiyindən asılıdır. Port dəyişikliyi burada heç nə düzəltmir və limit doymuş bir növbədirsə daha böyük instans da heç nə düzəltmir. Ölçmə ilə qərar verin: resursu adlandırın, onu yükləyin, sonra mübahisəni aradan qaldıran ən kiçik təcridi seçin.

Xaricdən yoxlayın, sonra yenidən başlatmadan sonra təkrar yoxlayın

Hostun öz şəbəkəsində olmayan cihazdan sınaqdan keçirin: saytı açın, tuneli qaldırın və onu tələb edən bir resursa çatın. Sonra hər xidməti ayrıca yenidən başladın və digər testi təkrarlayın, çünki yenidən başlatma ortaq dinləyici razılaşmasının sırasını itirdiyi andır. VPN ortaq portu sahiblənən veb serverdən əvvəl başlasa, bölüşmə mexanizmi heç vaxt qoşulmaya bilər və simptom dünən işləyən tuneldir. Asılılığı vahid sırasında açıq edin.

Sonra sərhədləri təsdiqləyin: sayt öz portunda cavab verir, VPN öz portunda cavab verir və inzibati interfeys yalnız idarəetmə yolundan cavab verir. Nəticəni tarixlə birlikdə dinləyici cədvəlinin yanında qeyd edin. Yenidən başlatmadan sonra üç yoxlamanın hamısından keçən host, başqasına brifinqsiz təhvil verə biləcəyiniz hostdur.