Limiteu un escoltador VPN a les interfícies que volíeu

Un servei VPN és accessible des d'on sigui que el seu sòcol estigui lligat i el seu tallafocs ho permeti. Són dues decisions separades, i la gent normalment només en pren una. Llegir l'escoltador real triga deu segons i resol una qüestió que les conjectures no poden. Comenceu per aquí i després canvieu un control alhora.

Tot el que hi ha a continuació assumeix que podeu executar ordres a l'amfitrió amb root o sudo.

Llegiu els sòcols abans de canviar res

A Linux, ss -lunp llista els escoltadors UDP amb la seva adreça local, el port i el procés, i ss -ltnp fa el mateix per a TCP. Cerqueu el port de la VPN i llegiu amb atenció la columna d'adreça. 0.0.0.0:51820 i [::]:51820 signifiquen totes les interfícies, mentre que 10.0.0.5:51820 significa una adreça en una interfície. El manual d'ss documenta les columnes si la sortida no us és familiar. Si falta el nom del procés, executeu la mateixa ordre amb sudo, perquè la columna del propietari necessita privilegis.

Anoteu l'adreça. És el fet del qual depèn la resta d'aquest manual.

Lligueu-vos a una adreça, no a un desig

OpenVPN té la directiva local, que lliga l'escoltador a una adreça concreta, i aquesta és la manera admesa d'acotar-lo a nivell de procés. No totes les implementacions n'ofereixen un equivalent, i un protocol sense opció de lligam no es pot estrenyer d'aquesta manera. Si el vostre no en té cap, el tallafocs és el vostre únic control, i les notes de desplegament ho haurien de dir ben clar. En un amfitrió amb diverses adreces, lligueu-vos a la que mira cap al túnel; lligar-se a una adreça flotant normalment és un error.

Un servei que ha de sobreviure a un canvi d'adreça necessita un pla per al lligam obsolet, no només una línia de configuració.

Comproveu la família d'adreces per separat

IPv4 i IPv6 són sòcols separats. Un procés lligat a 0.0.0.0 encara pot acceptar IPv6 mitjançant un sòcol de doble pila, o potser no, segons l'opció del sòcol i el valor predeterminat de la plataforma. Llegir només la línia IPv4 ha enganyat més d'una revisió de desplegament. Lliste les dues famílies abans de concloure que l'escoltador és estret.

Si IPv6 no forma part del disseny, desactivar-lo a nivell de sòcol és més net que esperar que el tallafocs el cobreixi. És una decisió de política, així que anoteu-la amb la resta de tries d'interfície.

Superposeu el tallafocs al lligam

Un lligam estret no substitueix una regla de tallafocs, i una regla de tallafocs no estreny un lligam comodí. Feu servir tots dos: lligueu on la implementació ho admeti i, després, permeteu el port només des de les fonts que hi haurien d'arribar. Els grups de seguretat del núvol se situen davant del tallafocs de l'amfitrió, així que comproveu tots dos quan el camí creua una frontera de VPC. La regla efectiva és la intersecció de les dues, i cada capa només pot restar abast.

Proveu des d'una font permesa i des d'una d'exclosa deliberadament. Una connexió des de localhost no demostra res sobre la frontera pública.

Anoteu què heu triat

Anoteu l'adreça lligada, la interfície que la posseeix, la regla de tallafocs i la seva finalitat. Una NIC de recanvi o una adreça de núvol reassignada poden canviar l'exposició sense que ningú editi el perfil. Posa data a la nota, perquè les adreces de núvol es mouen entre revisions més sovint del que la gent espera.

Aquesta nota és el que converteix la propera revisió en una comparació en lloc d'un projecte d'arqueologia.