Hodeiko segurtasun-taldea VPN baterako: ireki entzulea, ez dena
Segurtasun-taldea bezeroaren eta daemonaren arteko lau iragazkietako bat da. Izendatu protokoloa, eta gero egiaztatu ACLa, ostalariaren suebakia eta birbidalketa.
VPN zerbitzaria martxan dago, bezeroari denbora-muga agortu zaio, eta lehen bulkada segurtasun-taldeari dena baimentzen dion araua gehitzea da. Batzuetan horrek funtzionarazten du, eta hori da emaitzarik okerrena, orain inork ez baitaki zein muga itxi zen benetan. Lau iragazki bereizi daude bezeroaren eta daemonaren artean, eta horietako bat baino ez da segurtasun-taldea.
Izendatu protokoloa araua baino lehen
Araua protokoloa, portu-tarte bat eta jatorri bat da. WireGuard UDPn entzuten du, normalean 51820. OpenVPN normalean UDP edo TCP 1194 izaten da, nola konfiguratu den arabera. IPsec-ek IKE trukea behar du UDP 500 eta 4500 gainean, eta ESP protokoloa bera, hau da, protokolo-zenbaki bat, ez portu bat. Beste arauak TCP direlako TCP suposatzeak itxuraz zuzena den eta ezeri bat ere egiten ez dion araua ematen du.
Irakurri entzulea martxan dagoen zerbitzutik, ez tutorial batetik. Helbide bakarrera loturiko daemonak ez du beste batera iristen den trafikoa onartuko.
Mugatu jatorria diseinuak onartzen duen bezero-tartera, internet osora beharrean.
Segurtasun-taldeek egoera gordetzen dute; azpisare-ACLek ez
Segurtasun-taldeek egoera gordetzen dute eta soilik baimentzen dute: onartutako sarrerako fluxuak erantzunak automatikoki jasotzen ditu, eta ez dago pentsatu beharreko ukapen-arauik. Azpisare-ACLek ez dute egoerarik gordetzen eta bi noranzkoetan ebaluatzen dira, beraz sarrerako baimenak irteerako tarte efimero egokirik gabe huts egiten du oraindik. Alde horrek kontsolan zuzen diruditen arau asko azaltzen ditu.
Egiaztatu, halaber, zein politika dagoen lotuta martxan dagoen muturreko puntuari, instantzia batek talde bat baino gehiago izan baititzake eta lotu gabeko talde bateko arauak ez baitu ezer aldatzen.
Politika eraginkorra lotuta dagoenaren batasuna da, ez editatu duzun fitxategia.
Ostalariaren suebakia muga bereizia da
Hodeiko politikak trafikoa sare-interfazera onartzen du, eta gero sistema eragileak erabakitzen du daemonak ikusiko duen. Berezko ukapen-politika duen ostalari-suebakia segurtasun-taldeak onartutako paketea baztertuko du, eta hodeiko kontsola ez du ukapenik erakutsiko inoiz iritzirik izan ez zuelako. Egiaztatu biak, paketeak haiek aurkitzen dituen ordenan.
Ostalariak banaketaren suebaki-aurrealdea erabiltzen badu, egiaztatu azpiko arauak, ez profilaren izena, profil bat aktibo egon baitaiteke portua itxita dagoelarik.
Interfazean egindako harrapaketak esaten dizu zein mugak baztertu zuen paketea.
Entzulea onartzea ez da bezeroak bideratzea
Bezeroen trafikoa birbidaltzen duen VPN atebideak portu ireki bat baino gehiago behar du. IP birbidalketa behar du, tunel-interfazetik helburuko sarera fluxua onartzen duen politika bat, eta sarritan interfazean itzalitako jatorri-helmuga egiaztapena, plataformak berari zuzenduta ez dagoen trafikoa bazter ez dezan. Horietako bat ere ez du entzule-arauak sortzen.
Hemen bereizten dira funtzionatzen duen eskuko agurra eta hondatutako datu-bidea, eta horregatik tunelaren egoera osasuntsu dirudi ezer kargatzen ez den bitartean.
Konpondu bideratzea aldaketa bereizi gisa, bere egiaztapenarekin, eta kontuan izan birbidaltzen duen atebideak irteerako politika bat ere behar duela, helburua onartzen duena.
Eduki itzulera-bide bat, eta gero estutu araua
Urruneko suebaki-politika aldatu aurretik, egiaztatu kudeaketa-bide independente bat badagoela, hala nola saio-kudeatzaile bat, serie-kontsola bat edo banda kanpoko sare bat. Kudeaketa-bide bakarra editatzen ari zaren arautik pasatzen bada, ez duzu berreskuratzerik. Ondoren aplikatu arau estua, probatu benetako bezero batetik eta lotu saiakera zerbitzariaren aldeko frogak. Makina bereko beste zerbitzu baten erantzuna ez da entzulea iritsi denaren froga.
Kendu edozein baimen zabal esperimentala estua funtzionatzen duen bezain pronto, eta idatzi araua zergatik dagoen. AWSk segurtasun-taldeen egoera-konportamendua dokumentatzen du, eta hori da dokumentua aipatzekoa norbaitek tarte zabala lasterbide gisa proposatzen duenean.
Dokumentatu lotura ere, bestela ordezkapen-interfaze batek politika isilpean galduko du.