Grŵp diogelwch cwmwl ar gyfer VPN: agor y gwrandäwr, nid popeth

Mae'r gweinydd VPN yn rhedeg, mae'r cleient yn amseru allan, a'r redfa gyntaf yw ychwanegu rheol sy'n caniatáu popeth at y grŵp diogelwch. Weithiau mae hynny'n gweithio, a dyna'r canlyniad gwaethaf, oherwydd bellach nid oes neb yn gwybod pa ffin a gaeodd mewn gwirionedd. Mae pedwar hidlydd ar wahân rhwng y cleient a'r daemon, a dim ond un ohonynt yw'r grŵp diogelwch.

Enwch y protocol cyn y rheol

Mae rheol yn brotocol, yn ystod porthladdoedd ac yn ffynhonnell. Mae WireGuard yn gwrando ar UDP, fel arfer 51820. OpenVPN yw UDP neu TCP 1194 fel arfer, yn dibynnu sut y cafodd ei ffurfweddu. Mae IPsec angen ei gyfnewid IKE ar UDP 500 a 4500 ynghyd â'r protocol ESP ei hun, sef rhif protocol yn hytrach na phorthladd. Dyfalu TCP oherwydd bod y rheolau eraill yn TCP yw sut y mae pobl yn cael rheol sy'n edrych yn iawn ac nad yw'n cyfateb i ddim.

Darllenwch y gwrandäwr o'r gwasanaeth sy'n rhedeg, nid o diwtorial. Ni fydd daemon sydd wedi'i rwymo i un cyfeiriad yn derbyn traffig sy'n cyrraedd un arall.

Cyfyngwch y ffynhonnell i'r ystod cleientiaid y mae'r dyluniad yn ei chaniatáu, yn hytrach na'r rhyngrwyd gyfan.

Mae grwpiau diogelwch yn cadw cyflwr; nid yw ACLau is-rwydwaith

Mae grwpiau diogelwch yn cadw cyflwr ac yn caniatáu yn unig: mae ffrwd fewnol a ganiateir yn cael ei hatebion yn awtomatig, ac nid oes rheol gwadu i resymu amdani. Mae ACLau is-rwydwaith yn ddi-gyflwr ac yn cael eu gwerthuso yn y ddau gyfeiriad, felly mae caniatâd mewnol heb yr ystod efemeraidd allanol cyfatebol yn methu o hyd. Mae'r gwahaniaeth hwnnw'n esbonio llawer o reolau sy'n edrych yn gywir yn y consol.

Cadarnhewch hefyd pa bolisi sydd ynghlwm wrth y pwynt terfyn sy'n rhedeg, oherwydd gall achos gael mwy nag un grŵp ac nid yw rheol mewn grŵp heb ei chysylltu yn newid dim.

Y polisi effeithiol yw undeb yr hyn sydd ynghlwm, nid y ffeil a olygwyd gennych.

Mae mur tân y gwesteiwr yn ffin ar wahân

Mae polisi'r cwmwl yn derbyn traffig i'r rhyngwyneb rhwydwaith, ac yna mae'r system weithredu yn penderfynu a fydd y daemon yn ei weld. Mur tân gwesteiwr â pholisi gwadu rhagosodedig yn gollwng pecyn a ganiatawyd gan y grŵp diogelwch, ac ni fydd consol y cwmwl yn dangos unrhyw wadiad oherwydd nid oedd ganddo farn erioed. Gwiriwch y ddau, yn y drefn y mae'r pecyn yn eu cyfarfod.

Os yw'r gwesteiwr yn defnyddio blaen mur tân y dosbarthiad, cadarnhewch y rheolau sylfaenol yn hytrach na'r enw proffil, oherwydd gall proffil fod yn weithredol tra mae'r porthladd yn gaeedig.

Mae cipiad ar y rhyngwyneb yn dweud wrthych pa ffin a ollyngodd y pecyn.

Nid yw caniatáu'r gwrandäwr yn llwybro'r cleientiaid

Mae angen mwy nag agor porthladd ar borth VPN sy'n anfon traffig cleientiaid ymlaen. Mae angen anfon IP ymlaen, polisi sy'n caniatáu'r ffrwd o ryngwyneb y tiwnel i'r rhwydwaith cyrchfan, ac yn aml gwiriad ffynhonnell a chyrchfan wedi'i analluogi ar y rhyngwyneb fel nad yw'r platfform yn taflu traffig nad yw wedi'i gyfeirio ato. Nid yw'r rheol gwrandäwr yn creu dim o hynny.

Dyma lle mae ysgwyd llaw sy'n gweithio a llwybr data sydd wedi torri yn gwahanu, a dyna pam y gall statws tiwnel edrych yn iach tra nad oes dim yn llwytho.

Trwsiwch y llwybro fel newid ar wahân gyda'i wirio ei hun, a nodwch fod angen polisi allanfa sy'n caniatáu'r gyrchfan ar borth sy'n anfon ymlaen hefyd.

Cadwch ffordd yn ôl, yna culhewch y rheol

Cyn newid polisi mur tân o bell, cadarnhewch fod llwybr rheoli annibynnol yn bodoli, fel rheolwr sesiwn, consol cyfresol neu rwydwaith all-fand. Os yw'r unig lwybr rheoli yn mynd trwy'r rheol yr ydych yn ei olygu, nid oes gennych adferiad. Yna cymhwyswch y rheol gul, profwch o gleient go iawn, a chydberthynwch yr ymgais â thystiolaeth ar ochr y gweinydd. Nid yw ymateb gan wasanaeth arall ar yr un peiriant yn brawf bod y gwrandäwr wedi'i gyrraedd.

Tynnwch unrhyw ganiatâd eang arbrofol cyn gynted ag y bydd yr un cul yn gweithio, a nodwch pam mae'r rheol yn bodoli. Mae AWS yn dogfennu ymddygiad cyflwr grwpiau diogelwch, a'r ddogfen honno yw'r un i'w dyfynnu pan fydd rhywun yn cynnig ystod eang fel tramwyfa.

Dogfennwch y cysylltiad hefyd, neu bydd rhyngwyneb amnewid yn colli'r polisi yn dawel.