Piirake VPN-kuulaja just nendele liidestele, mida mõtlesite
Metamärgiga kuulaja ja tulemüüri reegel on erinevad juhtelemendid. Lugege tegelikke sokleid käsuga ss, seejärel kontrollige aadressiperet ja tulemüüri.
VPN-teenus on kättesaadav igalt poolt, kuhu selle sokkel on seotud ja kus tulemüür seda lubab. Need on kaks eraldi otsust ja inimesed teevad tavaliselt ainult ühe neist. Tegeliku kuulaja lugemine võtab kümme sekundit ja lahendab küsimuse, mida oletamine lahendada ei suuda. Alustage sealt ja muutke seejärel üks juhtelement korraga.
Kõik allpool eeldab, et saate hostis käivitada käske rooti või sudoga.
Lugege sokleid enne, kui midagi muudate
Linuxis loetleb ss -lunp UDP-kuulajad nende kohaliku aadressi, pordi ja protsessiga ning ss -ltnp teeb sama TCP puhul. Otsige VPN-i porti ja lugege aadressiveergu hoolikalt. 0.0.0.0:51820 ja [::]:51820 tähendavad kõiki liideseid, samas kui 10.0.0.5:51820 tähendab ühte aadressi ühel liidesel. ss-i käsiraamat dokumenteerib veerud, kui väljund on võõras. Kui protsessi nimi puudub, käivitage sama käsk sudoga, sest omanikuveerg nõuab õigusi.
Kirjutage aadress üles. See on fakt, millest sõltub ülejäänud osa sellest juhendist.
Sideage aadressiga, mitte sooviga
OpenVPN-i local-direktiiv seob kuulaja kindla aadressiga ja see on toetatud viis selle piiramiseks protsessi tasandil. Iga rakendus ei paku samaväärset ja ilma sidumisvalikuta protokolli ei saa sel viisil kitsendada. Kui teie omal seda pole, on tulemüür teie ainus juhtelement ja juurutusmärkused peaksid seda selgelt ütlema. Mitme aadressiga hostis siduge see, mis vaatab tunnelisse; hõljuva aadressiga sidumine on tavaliselt viga.
Teenus, mis peab aadressimuutuse üle elama, vajab plaani aegunud sidumise jaoks, mitte ainult konfiguratsioonirida.
Kontrollige aadressiperet eraldi
IPv4 ja IPv6 on eraldi soklid. Aadressiga 0.0.0.0 seotud protsess võib endiselt IPv6 vastu võtta kahekihilise sokli kaudu või mitte, sõltuvalt sokli valikust ja platvormi vaikeväärtusest. Ainult IPv4-rea lugemine on petnud rohkem kui üht juurutuse ülevaatust. Loetlege mõlemad pered, enne kui järeldate, et kuulaja on kitsas.
Kui IPv6 ei ole disaini osa, on selle sokli tasandil keelamine puhtam kui lootmine, et tulemüür selle katab. See on poliitikaotsus, seega kirjutage see üles koos ülejäänud liidese valikutega.
Kihitage tulemüür sidumise peale
Kitsas sidumine ei asenda tulemüürireeglit ja tulemüürireegel ei kitsenda metamärgiga sidumist. Kasutage mõlemat: siduge seal, kus rakendus seda toetab, ja lubage seejärel porti ainult nendest allikatest, mis peaksid selleni jõudma. Pilve turvagrupid asuvad hosti tulemüüri ees, seega kontrollige mõlemat, kui tee ületab VPC piiri. Tõhus reegel on mõlema lõige ja iga kiht saab ainult kättesaadavust lahutada.
Testige lubatud allikast ja teadlikult välistatud allikast. Ühendus localhostist ei tõesta midagi avaliku piiri kohta.
Kirjutage üles, mille valisite
Kirjutage üles seotud aadress, seda omav liides, tulemüürireegel ja selle eesmärk. Asendus-NIC või ümber määratud pilveaadress võib muuta kokkupuudet ilma, et keegi profiili muudaks. Dateerige märge, sest pilveaadressid liiguvad ülevaatuste vahel sagedamini, kui inimesed ootavad.
Just see märge teeb järgmisest ülevaatusest võrdluse, mitte arheoloogiaprojekti.