VPN bat eta webgune bat ostalari bakarrean talkarik gabe exekutatu

Ostalari bat gune publiko baten eta VPN baten artean partekatzen duzunean, bi galdera heredatzen dituzu, ez bat: zer entzuten du non eta nork autentifikatzen du nor. Erantzun biak konfigurazio fitxategia ukitu aurretik, balio lehenetsiak modu okerrean baitaude eta karga-pean baino ez dira agertzen. HTTPS bidez kargatzen den orrialde batek web entzuleak erantzuten duela frogatzen du, eta ezer ez pare entzuleari buruz. Hurrengo hau da biak elkar jaten ez uzteko erabaki ordena bat.

Erabaki zer entzuten duen zein helbide eta garraioetan

Idatzi hiru zutabeko taula bat, helbidea, garraioa eta ataka, eta errenkada bat zerbitzu bakoitzeko, administrazio interfazea barne. Gunearentzako TCP 443 eta VPNarentzako UDP 443 ez dira gatazka zenbakiak bat etorri arren, garraioa desberdina delako. Helbide, garraio eta ataka berean dauden bi zerbitzuk inplementazioak dokumentatzen duen antolamendu bat behar dute, ez matxura batean asmatzen duzuna. Taula hori da hurrengo aldaketa berrikusgarri egiten duen artefaktua ere.

Helbide bereiziak edo bigarren ataka bat egiten dute jabetza pakete-kaptura batean ikusgai, eta horrek dotorezia baino gehiago balio du. VPN inplementazio batzuek ataka bat web zerbitzari batekin partekatzea onartzen dute, baina mekanismoa zehatza da: daemonak lehen byteak aztertzen ditu eta bere protokoloa ez den trafikoa birbidaltzen du. HTTP alderantzizko proxy orokorrak ez du hori egiten, eta goiburuak berridazteak ez dio tunel zifratu baten esku-keinua ulertzen lagunduko. Irakurri protokoloaren hedapen oharrak, adibidez OpenVPN entzulearen dokumentazioa, eta jarraitu deskribatzen duen antolamendua.

Erabaki zein identitate dagokion zerbitzu bakoitzari

Nabigatzaile ziurtagiri bat eta VPN pare kredentzial bat objektu desberdinak dira, konfiantza eredu desberdinekin. Web ziurtagiria autoritate publiko batek baliozkotzen du eta ostalari izen bat izendatzen du, pare kredentzialak gailu edo erabiltzaile bat kontzentratzailearen aurrean autentifikatzen duen bitartean eta auto-sinatua edo barnean jaulkia izan daiteke. Bata bestea bezala berrerabiltzeak kasu estuetan funtzionatzen du eta gutxitan merezi du akoplamendu horrek. Egiaztatzea desaktibatzea ziurtagiri partekatu bat egokitzeko ez da bereizte plan bat; kredentzialari zentzua eman zion egiaztapena kentzen du.

Eduki bi biltegiak independente eta idatzi zein autoritatek jaulkitzen duen bakoitza. Bat biratzen denean, besteak ez luke aldaketarik behar izan behar, eta behar badu, akoplamendua da konpondu beharrekoa.

Erabaki non bizi den administrazioa

VPNaren administrazio interfazea kudeaketa bide batean dagokio, inoiz ez entzule publikoan, ostalariak jada interneta zerbitzatzen duenean ere. 443an dagoen web zerbitzari batek ez du esan nahi pareen kontsola edozein lekutatik irisgarri izan behar denik, eta kontsola balio handiagoko helburua izan ohi da. Lotu loopback edo kudeaketa helbide batera, murriztu iturriaren arabera eta mantendu berreskuratze bide bat tunea altxatuta egotearen mende ez dagoena. Berreskuratze bideak garrantzia du, huts egite arrunta blokeoa konpontzen ari zaren bitartean kanpoan geratzea baita.

Idatzi suebaki arau estuak, entzule bakoitzeko bat, interfazea edo zerbitzu kontua izendatuz plataformak onartzen duen tokian. Guneak 443 behar duelako ostalaria irekitzen duten arau zabalak dira administrazio interfazeak eskakizun indizeetara iristen diren modua.

Berrikusi arau horiek entzuleen taularen aurka zerbitzu bat gehitzen den bakoitzean. Berrikuspena merkea da eta norbaitek gaueko bitan gehitu zuen araua harrapatzen du.

Erabaki zer egin biak lehiatzen direnean

Ostalari bat partekatzeak CPUa, memoria, fitxategi deskriptoreak eta banda zabalera partekatzea esan nahi du, eta eztabaidatutako baliabidea ez da beti begi-bistakoa. Gune lanpetu batek konexio taula bete, langile zirrikituak agortu edo disko ilara hain gogor bultza dezake ezen VPN erregistratzea trabatzen baita. Begiratu zerbitzu bakoitzeko erabilera ostalariaren guztizkoen ordez, bataz bestekoak ezkutatzen baitu zein prozesu dagoen gose. Karga batek bestea behin eta berriz asaldatzen badu, isolatu itzazu sintomaren inguruan doitu beharrean.

Isolamendua edukiontzi bat, cgroup muga bat, ilara bereizi bat edo bigarren ostalari bat izan daiteke, eta aukera zuzena zein baliabide lehiatzen den araberakoa da. Ataka aldaketak ez du hemen ezer konpontzen, eta instantzia handiagoak ez du ezer konpontzen muga ilara saturatu bat bada. Erabaki neurketa batekin: izendatu baliabidea, kargatu, eta aukeratu lehia kentzen duen isolamendu txikiena.

Egiaztatu kanpotik, gero berriro berrabiarazi ondoren

Probatu ostalariaren sarean ez dagoen gailu batetik: kargatu gunea, altxatu tunea eta iritsi hura behar duen baliabide batera. Gero berrabiarazi zerbitzu bakoitza bere aldetik eta errepikatu beste proba, berrabiaraztea baita entzule partekatuaren antolamenduak bere ordena galtzen duen unea. VPNa ataka partekatuaren jabe den web zerbitzaria baino lehen abiatzen bada, partekatze mekanismoa agian ez da inoiz konektatuko, eta sintoma atzo funtzionatu zuen tune bat da. Egin dependentzia esplizitu unitateen ordenean.

Gero berretsi mugak: guneak bere atakan erantzuten du, VPNak berean, eta administrazio interfazeak kudeaketa bidetik soilik erantzuten du. Erregistratu emaitza entzuleen taularen ondoan datarekin. Berrabiarazi ondoren hiru egiaztapenak gainditzen dituen ostalaria inori briefingik gabe eman diezaiokezun ostalaria da.