Limigu VPN-auskultanton al la interfacoj, kiujn vi celis
Amaskarta auskultanto kaj fajroŝirma regulo estas malsamaj regiloj. Legu la realajn ingojn per ss, poste kontrolu la adresan familion kaj la fajroŝirmon.
VPN-servo atingeblas de kie ajn ĝia ingo estas bindita kaj ĝia fajroŝirmo permesas. Tiuj estas du apartaj decidoj, kaj homoj kutime faras nur unu el ili. Legi la realan auskultanton daŭras dek sekundojn kaj solvas demandon, kiun divenado ne povas. Komencu tie, poste ŝanĝu unu regilon samtempe.
Ĉio sube supozas, ke vi povas ruli komandojn sur la gastiganto kun root aŭ sudo.
Legu la ingojn antaŭ ol ŝanĝi ion
En Linux, ss -lunp listigas UDP-auskultantojn kun ilia loka adreso, pordo kaj procezo, kaj ss -ltnp faras la samon por TCP. Serĉu la pordon de la VPN kaj legu la adresan kolumnon atente. 0.0.0.0:51820 kaj [::]:51820 signifas ĉiun interfacon, dum 10.0.0.5:51820 signifas unu adreson sur unu interfaco. La manlibro de ss dokumentas la kolumnojn se la eligo estas nekonata. Se la proceza nomo mankas, rulu la saman komandon kun sudo, ĉar la posedanta kolumno bezonas privilegion.
Notu la adreson. Ĝi estas la fakto, de kiu dependas la resto de ĉi tiu gvidilo.
Bindu al adreso, ne al deziro
OpenVPN per sia local-direktivo bindas la auskultanton al specifa adreso, kaj tio estas la subtenata maniero limigi ĝin je proceza nivelo. Ne ĉiu efektivigo proponas ekvivalenton, kaj protokolo sen binda opcio ne povas esti mallarĝigita tiel. Se via havas neniun, la fajroŝirmo estas via sola regilo, kaj la deplojaj notoj devus diri tion klare. Sur gastiganto kun pluraj adresoj, bindu al tiu, kiu frontas la tunelon; bindi al adreso, kiu flosas, kutime estas eraro.
Servo, kiu devas postvivi adresan ŝanĝon, bezonas planon por la malaktuala bindaĵo, ne nur agordan linion.
Kontrolu la adresan familion aparte
IPv4 kaj IPv6 estas apartaj ingoj. Procezo bindita al 0.0.0.0 ankoraŭ povas akcepti IPv6 per dunivela ingo, aŭ eble ne, laŭ la inga opcio kaj la platforma defaŭlto. Legi nur la IPv4-linion trompis pli ol unu deplojan revizion. Listigu ambaŭ familiojn antaŭ ol konkludi, ke la auskultanto estas mallarĝa.
Se IPv6 ne estas parto de la dezajno, malŝalti ĝin je inga nivelo estas pli pura ol esperi, ke la fajroŝirmo kovros ĝin. Tio estas politika decido, do registru ĝin kun la resto de la interfacaj elektoj.
Tavoligu la fajroŝirmon sur la bindaĵon
Mallarĝa bindaĵo ne anstataŭigas fajroŝirman regulon, kaj fajroŝirma regulo ne mallarĝigas amaskartan bindaĵon. Uzu ambaŭ: bindu kie la efektivigo subtenas tion, poste permesu la pordon nur el la fontoj, kiuj devus atingi ĝin. Nubaj sekurecaj grupoj staras antaŭ la gastiganta fajroŝirmo, do kontrolu ambaŭ kiam la vojo transiras VPC-limon. La efika regulo estas la komunaĵo de la du, kaj ĉiu tavolo povas nur subtrahi atingeblon.
Testu el permesita fonto kaj el intence ekskludita. Konekto el localhost pruvas nenion pri la publika limo.
Registru, kion vi elektis
Notu la binditan adreson, la interfacon, kiu posedas ĝin, la fajroŝirman regulon kaj ĝian celon. Anstataŭa NIC aŭ reasignita nuba adreso povas ŝanĝi eksponiĝon sen ke iu redaktu la profilon. Datu la noton, ĉar nubaj adresoj moviĝas inter revizioj pli ofte ol homoj atendas.
Ĝuste tiu noto igas la sekvan revizion komparo anstataŭ arkeologia projekto.