Абмяжуйце VPN-слухач інтэрфейсамі, якія вы маеце на ўвазе
Слухач з шаблонам wildcard і правіла міжсеткавага экрана — розныя сродкі кіравання. Прачытайце фактычныя сокеты праз ss, затым праверце сямейства адрасоў і міжсеткавы экран.
Служба VPN даступная з любога месца, дзе прывязаны яе сокет і дазваляе міжсеткавы экран. Гэта два асобныя рашэнні, і людзі звычайна прымаюць толькі адно з іх. Чытанне фактычнага слухача займае дзесяць секунд і вырашае пытанне, якое здагадкі вырашыць не могуць. Пачніце адтуль, затым змяняйце па адным сродку кіравання за раз.
Усё ніжэй мяркуе, што вы можаце выконваць каманды на хаспе з root або sudo.
Прачытайце сокеты, перш чым нешта змяняць
У Linux ss -lunp пералічвае UDP-слухачоў з іх лакальным адрасам, портам і працэсам, а ss -ltnp робіць тое ж для TCP. Шукайце порт VPN і ўважліва чытайце слупок адраса. 0.0.0.0:51820 і [::]:51820 азначаюць усе інтэрфейсы, а 10.0.0.5:51820 азначае адзін адрас на адным інтэрфейсе. Кіраўніцтва па ss апісвае слупкі, калі вывад незнаёмы. Калі назва працэса адсутнічае, запусціце тую ж каманду з sudo, бо слупок уладальніка патрабуе прывілеяў.
Запішыце адрас. Гэта факт, ад якога залежыць астатняя частка гэтага кіраўніцтва.
Прывязаць да адраса, а не да жадання
OpenVPN мае дырэктыву local, якая прывязвае слухача да пэўнага адраса, і гэта падтрыманы спосаб абмежаваць яго на ўзроўні працэса. Не кожная рэалізацыя прапануе эквівалент, і пратакол без опцыі прывязкі нельга звузіць такім чынам. Калі ў вашай яе няма, міжсеткавы экран — ваш адзіны сродак кіравання, і нататкі па разгортванні павінны гаварыць пра гэта прама. На хаспе з некалькімі адрасамі прывязвайце да таго, што глядзіць у тунэль; прывязка да адраса, які плавае, звычайна ёсць памылкай.
Служба, якая павінна перажыць змену адраса, патрабуе плана для састарэлай прывязкі, а не проста радка канфігурацыі.
Праверце сямейства адрасоў асобна
IPv4 і IPv6 — асобныя сокеты. Працэс, прывязаны да 0.0.0.0, можа ўсё яшчэ прымаць IPv6 праз двухстэкавы сокет або не, у залежнасці ад опцыі сокета і стандарту платформы. Чытанне толькі радка IPv4 падманула не адзін агляд разгортвання. Пералічыце абодва сямействы, перш чым заключыць, што слухач вузкі.
Калі IPv6 не ўваходзіць у дызайн, адключыць яго на ўзроўні сокета чысцей, чым спадзявацца, што міжсеткавы экран яго пакрые. Гэта рашэнне палітыкі, таму запішыце яго разам з астатнімі выбарамі інтэрфейсаў.
Накладзіце міжсеткавы экран на прывязку
Вузкая прывязка не замяняе правіла міжсеткавага экрана, і правіла міжсеткавага экрана не звужае прывязку да wildcard. Выкарыстоўвайце абодва: прывязвайце там, дзе рэалізацыя гэта падтрымлівае, затым дазваляйце порт толькі з крыніц, якія павінны да яго дабрацца. Групы бяспекі воблака стаяць перад міжсеткавым экранам хаспа, таму правярайце абодва, калі шлях перасякае мяжу VPC. Эфектыўнае правіла — гэта перасячэнне двух, і кожны пласт можа толькі паменшыць дасяжнасць.
Тэстуйце з дазволенай крыніцы і з наўмысна выключанай. Злучэнне з localhost нічога не даказвае пра публічную мяжу.
Запішыце, што вы выбралі
Запішыце прывязаны адрас, інтэрфейс, які ім валодае, правіла міжсеткавага экрана і яго мэту. Замяшчэнне NIC або перапрызначаны адрас воблака могуць змяніць уздзеянне без рэдагавання профілю кім-небудзь. Пастаўце дату на нататцы, бо адрасы воблака рухаюцца паміж аглядамі часцей, чым людзі чакаюць.
Менавіта гэтая нататка робіць наступны агляд параўнаннем, а не археалагічным праектам.