Hodeiko suebakia eta ostalariaren suebakia VPN zerbitzari baterako
Bi iragazkik VPN ataka bera zaintzen dute. Egin mugen ordena hodeiko politikatik ostalariaren entzulearentzat, eta gero frogatu konponketa saio berri batekin.
Baimendu VPN ataka hodeiko politikan, eta esku-ematea oraindik hil daiteke instantzian: ostalariak bere iragazkia eta bere entzule-lotura exekutatzen ditu, eta edozein hauetatik bota dezake hodeiak onartutakoa. Alderantzizkoa ere gertatzen da, ostalariaren arauak ataka baimentzen duenean eta gainetik dagoen politika batek lehenago botatzen duenean. Bi jabe, bi arau-multzo, pakete-bide bat. Ibili ezazu ordenan, geruzarik susmagarrienean asmatu beharrean.
Hasi ertzetik eta joan barrurantz
Ordena finkoa da: amaiera-puntu publikoa, baliabideen interfazea, erantsitako hodeiko politika, ostalariaren helbidea, prozesuaren entzulea, sarrera-arau lokalak. Etapa bakoitzak paketea pasatzen du edo ikerketa amaitzen du, eta horregatik ostalaritik hastea da denbora gehien galtzen duena.
Birbidalitako bezero-trafikoa etapa bereizia da, tunela deskapsulatu ondoren aztertzen dena. Hodeiko geruzak kanpoko tunela baino ez du ikusten, beraz konexio bat onar dezake eta barneko zerbitzu-eskaera batekin zerikusirik ez izan. Konektatzen duen baina barneko ostalari bat lortzen ez duen tunelak birbidalketara eramaten du normalean, ez ataka itxi batera.
Irakurri hodeiko politika ostalaria ukitu aurretik
Egiaztatu VPN atakaren sarrera-araua, bere protokoloa eta zure proba-bezeroarekin bat datorren iturburu-eremua. Begiratu azpisarearen sarbide-kontrol zerrendari ere: bigarren iragazki bat bere arau eta balio lehenetsiekin. Biek fluxua baimendu behar dute paketea instantziara iritsi aurretik. Batean baimena eta bestean ukapena da akats honen forma ohikoa.
Estutu eremua zerbait esan arte. VPN ataka internet osoari irekitzea erraza da frogatzen eta zaila defendatzen; helbide bakarrera finkatutako araua, berriz, apurtu egiten da zure proba-bezeroak sarez aldatzen duenean. Idatz ezazu arauaren identifikatzailea eta politikaren jabea, hurrengo aldaketa pertsona batera itzultzeko modukoa izan dadin.
Egiaztatu entzulea, eta gero sarrera-katea
Instantzian, egiaztatu VPN prozesua espero duzun helbidera eta atakara lotuta dagoela, adibidez ss -lntp 'sport = :1194' erabiliz. 127.0.0.1-ra soilik lotutako daemon batek bezero lokalak onartzen ditu eta ezer ez tunelaren bidez, kanpotik ataka iragazi bat bezalaxe dirudiena.
Gero irakurri arau lokalak aldatzeko erabiliko zenukeen sintaxian, adibidez iptables -S INPUT edo nft list chain inet filter input. Fitxategi batean idatzitako baina inoiz kargatu gabeko arau batek, edo bat datorren baimenik gabeko baztertze lehenetsiak, paketeak isilka botatzen ditu. Birbidaltzen duen atebide baterako, egiaztatu birbidalketa eta itzulera-bide ezarpenak ere. Hauek erabakitzen dute instantziaren bidez bideratutako paketeei zer gertatzen zaien, haiei zuzenduak ez daudenean.
Egoerarekin geruza batean, egoerarik gabe hurrengoan
Segurtasun-taldeek baimendu zituzten fluxuak gogoratzen dituzte eta erantzunak berriro sartzen uzten dituzte. Azpisareen sarbide-kontrol zerrendek eta ostalariaren suebaki askok ez dute halako egoerarik gordetzen, beraz irteera-norabidea baino estaltzen ez duen arau batek eskaera pasatzen du eta erantzuna botatzen du. Ez eraman inoiz itzulera-trafikoari buruzko suposiziorik geruzen artean, bigarren geruzaren araua irakurri gabe (second layer's rule).
Kontagailuek azkarrago konpontzen dute hori kontuko arau bakoitza irakurtzeak baino. Igotzen ari den kontagailu batek paketea iritsi eta han bota zela esan nahi du, zeroan izoztuta dagoenak berriz, ez zela hain urrun iritsi; iptables -vnL INPUT eta nft list ruleset kontu horiek erakusten dituzte arauak kontagailuekin kargatu zirenean.
Probatu saio berri batekin, ez bizi batekin
Utzi iturburu-sarea eta proba-profila ukitu gabe bistak alderatzen dituzun bitartean, eta ireki konexio berri bat aldaketa bakoitzaren ondoren. 443an web-kontsolera iristeak ez du ezer esaten VPN daemona 1194ra lotuta dagoen ala ez, beraz probatu behar duzun ataka. Dagoen saio bat da lekuko okerrena hemen. Lanean jarraitzen du saio-hasiera berri guztiak ukatzen diren bitartean.
Urrutiko politika bat editatu aurretik, ziurtatu itzulera-bide bat aldatzen ari zaren bidearen mende ez dagoena. Gero ireki bigarren administrazio-saio bat VPN probaren ondoan: lehenago ezarritako batek bizi dezake berriak blokeatzen dituen araua. Idatz itzazu bi politiken jabeak, berreraikuntzak bidearen erdia ere ez dezan leheneratu; bi geruzak ados badaude eta tunelak huts egiten badu oraindik, harrapatu ostalariaren interfazean eta egiaztatu bezeroak benetan erabiltzen dituen helbidea eta ataka.