Περιορίστε έναν ακροατή VPN στις διεπαφές που εννοούσατε

Μια υπηρεσία VPN είναι προσβάσιμη από όπου είναι δεσμευμένη η υποδοχή της και το επιτρέπει το τείχος προστασίας της. Αυτές είναι δύο ξεχωριστές αποφάσεις, και συνήθως οι άνθρωποι παίρνουν μόνο τη μία. Η ανάγνωση του πραγματικού ακροατή παίρνει δέκα δευτερόλεπτα και λύνει ένα ζήτημα που η εικασία δεν μπορεί. Ξεκινήστε εκεί και μετά αλλάξτε έναν έλεγχο κάθε φορά.

Όλα τα παρακάτω προϋποθέτουν ότι μπορείτε να εκτελέσετε εντολές στον κεντρικό υπολογιστή με root ή sudo.

Διαβάστε τις υποδοχές πριν αλλάξετε οτιδήποτε

Στο Linux, το ss -lunp απαριθμεί ακροατές UDP με την τοπική διεύθυνση, τη θύρα και τη διεργασία τους, και το ss -ltnp κάνει το ίδιο για το TCP. Βρείτε τη θύρα του VPN και διαβάστε προσεκτικά τη στήλη διεύθυνσης. Τα 0.0.0.0:51820 και [::]:51820 σημαίνουν κάθε διεπαφή, ενώ το 10.0.0.5:51820 σημαίνει μία διεύθυνση σε μία διεπαφή. Το εγχειρίδιο του ss τεκμηριώνει τις στήλες αν η έξοδος είναι άγνωστη. Αν λείπει το όνομα της διεργασίας, εκτελέστε την ίδια εντολή με sudo, γιατί η στήλη ιδιοκτήτη απαιτεί προνόμιο.

Σημειώστε τη διεύθυνση. Είναι το γεγονός από το οποίο εξαρτάται το υπόλοιπο αυτού του οδηγού.

Δεσμεύστε σε μια διεύθυνση, όχι σε μια επιθυμία

Το OpenVPN δεσμεύει τον ακροατή σε μια συγκεκριμένη διεύθυνση με την οδηγία local, και αυτός είναι ο υποστηριζόμενος τρόπος να τον περιορίσετε σε επίπεδο διεργασίας. Δεν προσφέρει κάθε υλοποίηση ισοδύναμο, και ένα πρωτόκολλο χωρίς επιλογή δέσμευσης δεν μπορεί να στενέψει έτσι. Αν το δικό σας δεν έχει καμία, το τείχος προστασίας είναι ο μόνος σας έλεγχος, και οι σημειώσεις ανάπτυξης πρέπει να το λένε καθαρά. Σε κεντρικό υπολογιστή με πολλές διευθύνσεις, δεσμεύστε σε εκείνη που κοιτά προς τη σήραγγα· η δέσμευση σε μια διεύθυνση που μετακινείται είναι συνήθως λάθος.

Μια υπηρεσία που πρέπει να επιβιώσει από αλλαγή διεύθυνσης χρειάζεται σχέδιο για την παρωχημένη δέσμευση, όχι μόνο μια γραμμή ρυθμίσεων.

Ελέγξτε την οικογένεια διευθύνσεων ξεχωριστά

Το IPv4 και το IPv6 είναι ξεχωριστές υποδοχές. Μια διεργασία δεσμευμένη στο 0.0.0.0 μπορεί ακόμη να δέχεται IPv6 μέσω υποδοχής διπλής στοίβας, ή μπορεί και όχι, ανάλογα με την επιλογή υποδοχής και την προεπιλογή της πλατφόρμας. Η ανάγνωση μόνο της γραμμής IPv4 έχει ξεγελάσει περισσότερες από μία αναθεωρήσεις ανάπτυξης. Καταγράψτε και τις δύο οικογένειες πριν συμπεράνετε ότι ο ακροατής είναι στενός.

Αν το IPv6 δεν είναι μέρος του σχεδιασμού, η απενεργοποίησή του σε επίπεδο υποδοχής είναι καθαρότερη από το να ελπίζετε ότι το τείχος προστασίας το καλύπτει. Είναι απόφαση πολιτικής, οπότε καταγράψτε την μαζί με τις υπόλοιπες επιλογές διεπαφής.

Στρώστε το τείχος προστασίας πάνω από τη δέσμευση

Μια στενή δέσμευση δεν αντικαθιστά έναν κανόνα τείχους προστασίας, και ένας κανόνας τείχους προστασίας δεν στενεύει μια δέσμευση wildcard. Χρησιμοποιήστε και τα δύο: δεσμεύστε όπου η υλοποίηση το υποστηρίζει και μετά επιτρέψτε τη θύρα μόνο από τις πηγές που πρέπει να φτάσουν σε αυτήν. Οι ομάδες ασφαλείας cloud βρίσκονται μπροστά από το τείχος προστασίας του κεντρικού υπολογιστή, οπότε ελέγξτε και τα δύο όταν η διαδρομή διασχίζει όριο VPC. Ο αποτελεσματικός κανόνας είναι η τομή των δύο, και κάθε επίπεδο μπορεί μόνο να αφαιρεί προσβασιμότητα.

Δοκιμάστε από μια επιτρεπόμενη πηγή και από μία που αποκλείστηκε σκόπιμα. Μια σύνδεση από το localhost δεν αποδεικνύει τίποτα για το δημόσιο όριο.

Καταγράψτε τι επιλέξατε

Γράψτε τη δεσμευμένη διεύθυνση, τη διεπαφή που την κατέχει, τον κανόνα τείχους προστασίας και τον σκοπό του. Μια αντικατεστημένη NIC ή μια εκ νέου εκχωρημένη διεύθυνση cloud μπορεί να αλλάξει την έκθεση χωρίς να επεξεργαστεί κανείς το προφίλ. Χρονολογήστε τη σημείωση, γιατί οι διευθύνσεις cloud μετακινούνται μεταξύ αναθεωρήσεων συχνότερα απ' ό,τι περιμένουν οι άνθρωποι.

Αυτή η σημείωση κάνει την επόμενη αναθεώρηση σύγκριση αντί για αρχαιολογικό έργο.