Воблачны фаервол супраць фаервала хасцяра для VPN-сервера

Дазвольце порт VPN у воблачнай палітыцы, і рукапоціск усё роўна можа памерці на інстансе: госць запускае ўласны фільтр і ўласную прывязку слухача, і любы з іх можа адкінуць тое, што ўхваліла воблака. Бывае і адваротнае: правіла хасцяра дазваляе порт, а вышэйшая палітыка адкідвае яго першай. Два ўладальнікі, два наборы правілаў, адзін шлях пакета. Прайдзіце яго па парадку, замест таго каб угадваць на самым падазроным узроўні.

Пачніце з краю і рухайцеся ўнутр

Парадак фіксаваны: публічная канчатковая кропка, інтэрфейс рэсурсу, далучаная воблачная палітыка, адрас гасця, слухач працэса, лакальныя правілы ўводу. Кожны этап або прапускае пакет, або спыняе расследаванне, таму пачатак з гасця марнуе найбольш часу.

Перанакіраваны кліенцкі трафік — асобны этап, які правяраюць пасля дэкапсуляцыі тунеля. Воблачны ўзровень бачыць толькі знешні тунель, таму ён можа ўхваліць злучэнне і пры гэтым не мець ніякага дачынення да запыту ўнутранай службы. Тунель, які злучаецца, але не дасягае ўнутранага хасцяра, звычайна паказвае на перанакіраванне, а не на закрыты порт.

Прачытайце воблачную палітыку, перш чым чапаць гасця

Пацвердзіце правіла ўваходу для порта VPN, яго пратакол і абсяг крыніцы, які адпавядае вашаму тэставаму кліенту. Праверце таксама спіс кантролю доступу падсеткі: другі фільтр са сваімі правіламі і значэннямі па змаўчанні. Абодва павінны дазваляць паток, перш чым пакет дасягне інстанса. Дазвол у адным і забарона ў другім — звычайная форма гэтай памылкі.

Звужайце абсяг, пакуль ён не стане асэнсаваным. Адкрыць порт VPN для ўсяго інтэрнэту лёгка даказаць і цяжка абараніць, а правіла, прывязанае да аднаго адраса, ламаецца, калі ваш тэставы кліент пераходзіць у іншую сетку. Запішыце ідэнтыфікатар правіла і ўладальніка палітыкі, каб наступная змена была прывязаная да канкрэтнай асобы.

Пацвердзіце слухача, затым ланцуг уводу

На інстансе праверце, што працэс VPN прывязаны да чаканага адраса і порта, напрыклад з дапамогай ss -lntp 'sport = :1194'. Дэман, прывязаны толькі да 127.0.0.1, прымае лакальных кліентаў і нічога праз тунель, што звонку выглядае дакладна як адфільтраваны порт.

Затым прачытайце лакальныя правілы ў тым сінтаксісе, які вы б выкарысталі для іх змены, напрыклад iptables -S INPUT або nft list chain inet filter input. Правіла, запісанае ў файл, але ніколі не загружанае, або стандартнае скіданне без адпаведнага дазволу скідвае пакеты маўкліва. Для шлюза з перанакіраваннем праверце таксама налады перанакіравання і зваротнага шляху. Яны вырашаюць, што адбываецца з пакетамі, якія маршрутызуюцца праз інстанс, а не адрасаваныя яму.

Стан у адным узроўні, без стану ў наступным

Групы бяспекі памятаюць паток, які яны дазволілі, і пускаюць адказы назад. Спісы кантролю доступу падсетак і многія фаерволы хасцяра не захоўваюць такога стану, таму правіла, якое ахоплівае толькі зыходны кірунак, прапускае запыт і скідвае адказ. Ніколі не пераносьце дапушчэнне пра зваротны трафік паміж узроўнямі, не прачытаўшы правіла другога ўзроўню (second layer's rule).

Лічыльнікі вырашаюць гэта хутчэй, чым чытанне кожнага правіла ў акаўнце. Лічыльнік, які расце, азначае, што пакет дайшоў і быў скідзены там, а замарозены на нулі — што ён туды зусім не дабраўся; iptables -vnL INPUT і nft list ruleset паказваюць гэтыя лікі, калі правілы былі загружаныя з лічыльнікамі.

Тэстуйце свежай сесіяй, а не жывой

Не чапайце зыходную сетку і тэставы профіль, параўноўваючы прадстаўленні, і адкрывайце новае злучэнне пасля кожнай змены. Дасягненне вэб-кансолі на 443 нічога не кажа пра тое, ці прывязаны дэман VPN да 1194, таму тэстуйце патрэбны вам порт. Існуючая сесія — найгоршы сведка. Яна працягвае працаваць, пакуль кожны новы ўваход адхіляецца.

Перш чым рэдагаваць аддаленую палітыку, забяспечце шлях вяртання, які не залежыць ад шляху, які вы змяняеце. Затым адкрыйце другую адміністрацыйную сесію побач з тэстам VPN: сесія, усталяваная раней, можа перажыць правіла, якое блакуе новыя. Запішыце абодвух уладальнікаў палітык, каб ніякая перабудова не аднавіла палову шляху; калі абодва ўзроўні згодныя, а тунель усё роўна не працуе, зрабіце захоп на інтэрфейсе гасця і праверце адрас і порт, якія кліент сапраўды выкарыстоўвае.