Cyfyngwch wrandäwr VPN i'r rhyngwynebau a olygwch

Mae gwasanaeth VPN yn hygyrch o unrhyw le y mae ei soced wedi'i rwymo yno ac y mae ei wal dân yn caniatáu. Mae'r rhain yn ddau benderfyniad ar wahân, ac fel arfer dim ond un ohonynt y mae pobl yn ei wneud. Mae darllen y gwrandäwr gwirioneddol yn cymryd deg eiliad ac yn datrys cwestiwn na all dyfalu ei ddatrys. Dechreuwch yno, yna newidiwch un rheolydd ar y tro.

Mae popeth isod yn tybio y gallwch redeg gorchmynion ar y gwesteiwr gyda root neu sudo.

Darllenwch y socedi cyn newid unrhyw beth

Ar Linux, mae ss -lunp yn rhestru gwrandawyr UDP gyda'u cyfeiriad lleol, porth a phroses, ac mae ss -ltnp yn gwneud yr un peth ar gyfer TCP. Chwiliwch am borth y VPN a darllenwch y golofn gyfeiriad yn ofalus. Mae 0.0.0.0:51820 a [::]:51820 yn golygu pob rhyngwyneb, tra bod 10.0.0.5:51820 yn golygu un cyfeiriad ar un rhyngwyneb. Mae llawlyfr ss yn dogfennu'r colofnau os yw'r allbwn yn anghyfarwydd. Os yw enw'r broses ar goll, rhedegwch yr un gorchymyn gyda sudo, oherwydd mae ar golofn y perchennog angen braint.

Ysgrifennwch y cyfeiriad i lawr. Dyma'r ffaith y mae gweddill y llawlyfr hwn yn dibynnu arni.

Rhwymwch at gyfeiriad, nid at ddymuniad

Mae OpenVPN yn defnyddio cyfarwyddeb local sy'n rhwymo'r gwrandäwr at gyfeiriad penodol, a dyna'r ffordd a gefnogir i'w gwmpasu ar lefel proses. Nid yw pob gweithrediad yn cynnig cyfwerth, ac ni ellir culhau protocol heb opsiwn rhwymo fel hyn. Os nad oes gan eich un chi, y wal dân yw eich unig reolydd, a dylai'r nodiadau gosod ddweud hynny'n glir. Ar westai sydd â sawl cyfeiriad, rhwymwch at yr un sy'n wynebu'r twnnel; mae rhwymo at gyfeiriad sy'n nofio fel arfer yn gamgymeriad.

Mae angen cynllun ar wasanaeth sy'n gorfod goroesi newid cyfeiriad ar gyfer yr hen rwymiad, nid llinell ffurfweddu yn unig.

Gwiriwch y teulu cyfeiriad ar wahân

Mae IPv4 ac IPv6 yn socedi ar wahân. Gall proses sydd wedi'i rhwymo at 0.0.0.0 dderbyn IPv6 drwy soced dwy-stack o hyd, neu beidio, yn dibynnu ar opsiwn y soced a diofyn y platfform. Mae darllen llinell IPv4 yn unig wedi twyllo mwy nag un adolygiad gosod. Rhestrwch y ddau deulu cyn i chi ddod i'r casgliad bod y gwrandäwr yn gul.

Os nad yw IPv6 yn rhan o'r cynllun, mae ei anablu ar lefel soced yn lanach na gobeithio bod y wal dân yn ei chwmpau. Mae hynny'n benderfyniad polisi, felly cofnodwch ef gyda gweddill y dewisiadau rhyngwyneb.

Haenwch y wal dân ar ben y rhwymiad

Nid yw rhwymiad cul yn cymryd lle rheol wal dân, ac nid yw rheol wal dân yn culhau rhwymiad wildcard. Defnyddiwch y ddau: rhwymwch lle mae'r gweithrediad yn ei gefnogi, yna caniatáwch y porth yn unig o'r ffynonellau a ddylai gyrraedd. Mae grwpiau diogelwch cwmwl yn eistedd o flaen wal dân y gwesteiwr, felly gwiriwch y ddau pan fydd y llwybr yn croesi ffin VPC. Y rheol effeithiol yw croestoriad y ddau, a dim ond tynnu hygyrchedd y gall pob haen ei wneud.

Profwch o ffynhonnell a ganiateir ac o un sydd wedi'i heithrio'n fwriadol. Nid yw cysylltiad o localhost yn profi dim am y ffin gyhoeddus.

Cofnodwch yr hyn a ddewisoch

Ysgrifennwch y cyfeiriad rhwym, y rhyngwyneb sy'n berchen arno, y rheol wal dân a'i phwrpas. Gall NIC newydd neu gyfeiriad cwmwl a ailbennwyd newid y datguddiad heb i neb olygu'r proffil. Dyddwch y nodyn, oherwydd mae cyfeiriadau cwmwl yn symud rhwng adolygiadau yn amlach nag y mae pobl yn disgwyl.

Y nodyn hwnnw sy'n gwneud yr adolygiad nesaf yn gymhariaeth yn lle prosiect archaeoleg.