Облачна защитна стена срещу защитна стена на хоста за VPN сървър

Разрешете VPN порта в облачната политика и ръкостискането пак може да умре на инстанцията: гостът пуска свой собствен филтър и свое собствено свързване на слушателя и всяко от тях може да изхвърли това, което облакът е одобрил. Случва се и обратното: правило на хоста разрешава порта, а политика по-горе го изхвърля първа. Двама собственици, два набора правила, един път на пакета. Извървете го по ред, вместо да гадаете на най-подозрителния слой.

Започнете от ръба и вървете навътре

Редът е фиксиран: публична крайна точка, интерфейс на ресурса, прикачена облачна политика, адрес на госта, слушател на процеса, локални правила за входа. Всеки етап или пропуска пакета, или приключва разследването, затова започването от госта губи най-много време.

Пренасоченият клиентски трафик е отделен етап и се проверява след декапсулиране на тунела. Облачният слой вижда само външния тунел, затова може да одобри връзка и въпреки това да няма нищо общо със заявка към вътрешна услуга. Тунел, който се свързва, но не достига до вътрешен хост, обикновено сочи към пренасочване, а не към затворен порт.

Прочетете облачната политика, преди да пипате госта

Потвърдете правилото за входящ трафик на VPN порта, неговия протокол и обхвата на източника, който отговаря на тестовия ви клиент. Проверете и списъка за контрол на достъпа на подмрежата: втори филтър със свои правила и стойности по подразбиране. И двете трябва да разрешават потока, преди пакетът да стигне до инстанцията. Разрешение в едното и отказ в другото е обичайната форма на тази грешка.

Стеснявайте обхвата, докато не придобие смисъл. Отварянето на VPN порта за целия интернет е лесно за доказване и трудно за защита, а правило, заковано към един адрес, се чупи, когато тестовият ви клиент смени мрежата. Запишете идентификатора на правилото и собственика на политиката, така че следващата промяна да е проследима до човек.

Потвърдете слушателя, после веригата за входа

На инстанцията проверете дали процесът на VPN е свързан към адреса и порта, които очаквате, например с ss -lntp 'sport = :1194'. Демон, свързан само към 127.0.0.1, приема локални клиенти и нищо през тунела, което отвън изглежда точно като филтриран порт.

След това прочетете локалните правила в синтаксиса, който бихте използвали, за да ги промените, например iptables -S INPUT или nft list chain inet filter input. Правило, записано във файл, но никога не заредено, или подразбиращо се изхвърляне без съответно разрешение изхвърля пакетите безшумно. За шлюз с пренасочване проверете и настройките за пренасочване и обратен път. Те решават какво се случва с пакетите, маршрутизирани през инстанцията, а не адресирани до нея.

Със състояние в единия слой, без състояние в следващия

Групите за сигурност помнят потоците, които са разрешили, и пускат отговорите обратно. Списъците за контрол на достъпа на подмрежите и много защитни стени на хоста не пазят такова състояние, затова правило, което покрива само изходящата посока, пропуска заявката и изхвърля отговора. Никога не пренасяйте допускане за обратен трафик между слоеве, без да прочетете правилото на втория слой (second layer's rule).

Броячите решават това по-бързо от четенето на всяко правило в акаунта. Брояч, който расте, означава, че пакетът е пристигнал и е бил изхвърлен там, а замразен на нула — че никога не е стигнал дотолкова; iptables -vnL INPUT и nft list ruleset показват тези стойности, когато правилата са заредени с броячи.

Тествайте с нова сесия, а не с активна

Не пипайте изходната мрежа и тестовия профил, докато сравнявате изгледите, и отваряйте нова връзка след всяка промяна. Достигането до уеб конзолата на 443 не казва нищо за това дали демонът на VPN е свързан към 1194, затова тествайте порта, който ви трябва. Съществуващата сесия е най-лошият свидетел тук. Тя продължава да работи, докато всеки нов вход се отхвърля.

Преди да редактирате отдалечена политика, осигурете път за връщане, който не зависи от пътя, който променяте. После отворете втора административна сесия до теста на VPN: сесия, установена по-рано, може да преживее правилото, което блокира новите. Запишете и двамата собственици на политики, така че никакво преустройство да не възстанови половината път; ако и двата слоя са съгласни, а тунелът все още се проваля, направете заснемане на интерфейса на госта и проверете адреса и порта, които клиентът наистина използва.