VPN-i ja veebisaidi käitamine ühel hostil ilma kokkupõrgeteta

Kui jagate ühe hosti avaliku saidi ja VPN-i vahel, pärite kaks küsimust, mitte ühe: mis kus kuulab ja kes keda autentib. Vastake mõlemale enne konfiguratsioonifaili puudutamist, sest vaikeväärtused on valed viisil, mis ilmneb alles koormuse all. HTTPS-i kaudu laadiv leht tõestab, et veebikuulaja vastab, ja mitte midagi partnerikuulaja kohta. Järgnev on otsuste järjekord, mis hoiab ära, et need kaks üksteist ära sööksid.

Otsustage, mis kuulab millisel aadressil ja transpordil

Kirjutage tabel kolme veeruga, aadress, transport ja port, ning üks rida iga teenuse kohta, sealhulgas haldusliides. TCP 443 saidi jaoks ja UDP 443 VPN-i jaoks ei ole konflikt, isegi kui numbrid kattuvad, sest transport erineb. Kaks teenust samal aadressil, transpordil ja pordil vajavad korraldust, mille rakendus dokumenteerib, mitte seda, mille te katkestuse ajal välja mõtlete. See tabel on ka artefakt, mis teeb järgmise muudatuse ülevaatatavaks.

Eraldi aadressid või teine port muudavad omandi paketisalvestuses nähtavaks ja see on väärt rohkem kui elegants. Mõned VPN-i rakendused toetavad pordi jagamist veebiserveriga, kuid mehhanism on spetsiifiline: deemon uurib esimesi baite ja edastab liiklust, mis ei ole tema enda protokoll. Üldine HTTP pöördpuhverserver seda ei tee ja päiste ümberkirjutamine ei pane teda krüpteeritud tunneli kätlust mõistma. Lugege protokolli juurutamismärkusi, näiteks OpenVPN-i kuulaja dokumentatsiooni, ja järgige korraldust, mida see kirjeldab.

Otsustage, milline identiteet kuulub millise teenuse juurde

Brauserisertifikaat ja VPN-i partneri mandaat on erinevad objektid erinevate usaldusmudelitega. Veebisertifikaadi valideerib avalik asutus ja see nimetab hostinime, samas kui partneri mandaat autendib seadet või kasutajat kontsentreerija ees ja võib olla ise allkirjastatud või sisemiselt välja antud. Ühe kasutamine teisena töötab kitsastes juhtudel ja on seda sidet harva väärt. Kontrolli väljalülitamine, et jagatud sertifikaat sobiks, ei ole eraldamise plaan; see eemaldab kontrolli, mis andis mandaadile tähenduse.

Hoidke kaks hoidlat sõltumatuna ja kirjutage üles, milline asutus kummagi välja annab. Kui üks pööratakse, ei peaks teine muutust vajama, ja kui vajab, siis on side see, mida parandada.

Otsustage, kus haldus elab

VPN-i haldusliides kuulub haldusteekonnale, mitte kunagi avalikule kuulajale, isegi kui host juba internetti teenindab. Veebiserver pordil 443 ei tähenda, et partnerite konsool peaks olema kõikjalt kättesaadav, ja konsool on tavaliselt väärtuslikum sihtmärk. Siduge see loopback- või haldusaadressiga, piirake seda allika järgi ja hoidke taasteteekonda, mis ei sõltu sellest, et tunnel on üleval. Taasteteekond on oluline, sest tavaline rike on end parandamise ajal välja lukustada.

Kirjutage kitsad tulemüürireeglid, üks iga kuulaja kohta, nimetades liidest või teenusekontot, kus platvorm seda toetab. Laiad reeglid, mis avavad hosti, sest sait vajab 443, on viis, kuidas haldusliidesed skannerite indeksitesse satuvad.

Vaadake need reeglid kuulajate tabeli vastu üle iga kord, kui teenus lisatakse. Ülevaatus on odav ja see püüab kinni reegli, mille keegi lisas kell kaks öösel.

Otsustage, mida teha, kui need kaks võistlevad

Hosti jagamine tähendab protsessori, mälu, failideskriptorite ja ribalaiuse jagamist ning vaidlustatud ressurss ei ole alati ilmne. Hõivatud sait võib ühenduste tabeli täita, tööslotid ammendada või kettajärjekorda nii tugevalt suruda, et VPN-i logimine takerdub. Jälgige kasutust teenuse kaupa, mitte hosti kogusummasid, sest keskmine varjab, milline protsess nälgib. Kui üks töökoormus segab korduvalt teist, isoleerige need, selle asemel et sümptomi ümber häälestada.

Isolatsioon võib olla konteiner, cgroup-i piirang, eraldi järjekord või teine host, ja õige valik sõltub sellest, milline ressurss võistleb. Pordi muutmine ei paranda siin midagi ja suurem instants ei paranda midagi, kui piiriks on üks küllastunud järjekord. Otsustage mõõtmisega: nimetage ressurss, koormake seda, seejärel valige väikseim isolatsioon, mis võistluse kõrvaldab.

Kontrollige väljast, seejärel uuesti pärast taaskäivitust

Testige seadmest, mis ei ole hosti enda võrgus: laadige sait, tõstke tunnel üles ja jõudke ühe ressursini, mis seda nõuab. Seejärel taaskäivitage iga teenus eraldi ja korrake teist testi, sest taaskäivitus on hetk, mil jagatud kuulaja korraldus kaotab oma järjekorra. Kui VPN käivitub enne veebiserverit, kellele jagatud port kuulub, ei pruugi jagamismehhanism kunagi külge haakuda ja sümptomiks on tunnel, mis eile töötas. Tehke sõltuvus üksuste järjekorras selgesõnaliseks.

Seejärel kinnitage piirid: sait vastab oma pordil, VPN vastab omal ja haldusliides vastab ainult haldusteekonnalt. Kirjutage tulemus kuulajate tabeli kõrvale koos kuupäevaga. Host, mis läbib pärast taaskäivitust kõik kolm kontrolli, on host, mille saate kellelegi teisele üle anda ilma ülevaatuseta.