Nuba fajroŝirmilo kontraŭ gastiga fajroŝirmilo por VPN-servilo

Permesu la VPN-pordon en la nuba politiko kaj la manpremo ankoraŭ povas morti sur la instanco: la gasto funkciigas propran filtrilon kaj propran ligon de aŭskultanto, kaj ĉiu el ili povas forĵeti tion, kion la nubo aprobis. Ankaŭ la malo okazas, kiam gastiga regulo permesas la pordon kaj supera politiko forĵetas ĝin unue. Du posedantoj, du regulaj aroj, unu paketa vojo. Trapasu ĝin laŭvice anstataŭ diveni ĉe la plej suspektinda tavolo.

Komencu ĉe la rando kaj iru internen

La sinsekvo estas fiksita: publika finpunkto, rimeda interfaco, alkroĉita nuba politiko, adreso de la gasto, proceza aŭskultanto, lokaj enigaj reguloj. Ĉiu etapo aŭ pasigas la paketon aŭ finas la esploron, tial komenci ĉe la gasto perdas la plej multe da tempo.

Plusendita klienta trafiko estas aparta etapo, esplorata post la malenkapsuligo de la tunelo. La nuba tavolo vidas nur la eksteran tunelon, do ĝi povas aprobi konekton kaj tamen havi nenion komunan kun peto de interna servo. Tunelo, kiu konektiĝas sed ne atingas internan gastiganton, kutime indikas plusendadon, ne fermitan pordon.

Legu la nuban politikon antaŭ ol tuŝi la gaston

Konfirmu la enigan regulon por la VPN-pordo, ĝian protokolon kaj la fontan amplekson kongruan kun via testa kliento. Kontrolu ankaŭ la alirregliston de la subreto: dua filtrilo kun propraj reguloj kaj defaŭltoj. Ambaŭ devas permesi la fluon antaŭ ol paketo atingas la instancon. Permeso en unu kaj malpermeso en la alia estas la kutima formo de ĉi tiu cimo.

Mallarĝigu la amplekson ĝis ĝi signifas ion. Malfermi la VPN-pordon al la tuta interreto estas facile pruvebla kaj malfacile defendebla, dum regulo fiksita al unu adreso rompiĝas kiam via testa kliento ŝanĝas reton. Notu la regulan identigilon kaj la posedanton de la politiko, por ke la sekva ŝanĝo estu spurebla al persono.

Konfirmu la aŭskultanton, poste la enigan ĉenon

Sur la instanco, kontrolu ĉu la VPN-procezo estas ligita al la adreso kaj pordo, kiujn vi atendas, ekzemple per ss -lntp 'sport = :1194'. Demono ligita nur al 127.0.0.1 akceptas lokajn klientojn kaj nenion tra la tunelo, kio de ekstere aspektas precize kiel filtrita pordo.

Poste legu la lokajn regulojn en la sintakso, kiun vi uzus por ŝanĝi ilin, ekzemple iptables -S INPUT aŭ nft list chain inet filter input. Regulo skribita en dosieron sed neniam ŝargita, aŭ defaŭlta forĵeto sen kongrua permeso, forĵetas paketojn silente. Por plusenda pordego, kontrolu ankaŭ la agordojn de plusendado kaj inversa vojo. Ili decidas, kio okazas al paketoj enkursigitaj tra la instanco anstataŭ adresitaj al ĝi.

Stata en unu tavolo, senstata en la sekva

Sekurecaj grupoj memoras la fluojn, kiujn ili permesis, kaj lasas la respondojn reveni. Alirreglistoj de subretoj kaj multaj gastigaj fajroŝirmiloj ne tenas tian staton, do regulo, kiu kovras nur la eliran direkton, pasigas la peton kaj forĵetas la respondon. Neniam portu supozon pri revena trafiko inter tavoloj sen legi la regulon de la dua tavolo (second layer's rule).

Nombriloj solvas tion pli rapide ol legi ĉiun regulon en la konto. Nombrilo, kiu kreskas, signifas, ke la paketo alvenis kaj estis forĵetita tie, dum tiu frostigita je nulo signifas, ke ĝi neniam tiom malproksimen venis; iptables -vnL INPUT kaj nft list ruleset montras tiujn nombrojn kiam la reguloj estis ŝargitaj kun nombriloj.

Testu per freŝa sesio, ne per viva

Lasu la fontan reton kaj la testan profilon trankvilaj dum vi komparas vidojn, kaj malfermu novan konekton post ĉiu ŝanĝo. Atingi la retkonsolon ĉe 443 diras nenion pri tio, ĉu la VPN-demono estas ligita al 1194, do testu la pordon, kiun vi bezonas. Ekzistanta sesio estas la plej malbona atestanto ĉi tie. Ĝi daŭre funkcias dum ĉiu nova saluto estas rifuzata.

Antaŭ ol redakti malproksiman politikon, certigu vojon reen, kiu ne dependas de la vojo, kiun vi ŝanĝas. Poste malfermu duan administran sesion apud la VPN-testo: unu establita pli frue povas postvivi la regulon, kiu blokas novajn. Notu ambaŭ posedantojn de la politikoj, por ke neniu rekonstruo restarigu duonon de la vojo; se ambaŭ tavoloj konsentas kaj la tunelo ankoraŭ fiaskas, kaptu ĉe la interfaco de la gasto kaj kontrolu la adreson kaj pordon, kiujn la kliento vere uzas.