Pilvipalomuuri vastaan isännän palomuuri VPN-palvelimelle

Salli VPN-portti pilvikäytännössä, ja kättely voi silti kuolla instanssilla: vieras ajaa omaa suodatintaan ja omaa kuuntelijan sidontaansa, ja kumpi tahansa voi hylätä sen, minkä pilvi hyväksyi. Myös päinvastoin käy, kun isännän sääntö sallii portin ja ylempi käytäntö pudottaa sen ensin. Kaksi omistajaa, kaksi sääntöjoukkoa, yksi pakettipolku. Kulje se järjestyksessä sen sijaan, että arvaisit epäilyttävimmällä kerroksella.

Aloita reunalta ja etene sisäänpäin

Järjestys on kiinteä: julkinen päätepiste, resurssin rajapinta, liitetty pilvikäytäntö, vieraan osoite, prosessin kuuntelija, paikalliset saapumissäännöt. Jokainen vaihe joko päästää paketin läpi tai lopettaa tutkinnan, ja siksi vieraasta aloittaminen hukkaa eniten aikaa.

Edelleenlähetetty asiakasliikenne on erillinen vaihe, joka tutkitaan tunnelin purkamisen jälkeen. Pilvikerros näkee vain ulomman tunnelin, joten se voi hyväksyä yhteyden ja silti olla täysin irrallaan sisäisen palvelun pyynnöstä. Tunneli, joka yhdistyy mutta ei tavoita sisäistä isäntää, viittaa yleensä edelleenlähetykseen eikä suljettuun porttiin.

Lue pilvikäytäntö ennen kuin kosket vieraaseen

Vahvista VPN-portin saapumissääntö, sen protokolla ja lähdealue, joka vastaa testiasiakastasi. Tarkista myös aliverkon käyttöoikeusluettelo: toinen suodatin omine sääntöineen ja oletuksineen. Molempien on sallittava virtaus ennen kuin paketti saavuttaa instanssin. Sallinta toisessa ja hylkäys toisessa on tämän vian tavallinen muoto.

Kavenna aluetta, kunnes sillä on merkitystä. VPN-portin avaaminen koko internetille on helppo todistaa ja vaikea puolustaa, kun taas yhteen osoitteeseen kiinnitetty sääntö hajoaa, kun testiasiakkaasi vaihtaa verkkoa. Kirjaa säännön tunniste ja käytännön omistaja, jotta seuraava muutos on jäljitettävissä henkilöön.

Vahvista kuuntelija ja sitten saapumisketju

Tarkista instanssilla, että VPN-prosessi on sidottu odottamaasi osoitteeseen ja porttiin, esimerkiksi komennolla ss -lntp 'sport = :1194'. Vain osoitteeseen 127.0.0.1 sidottu taustapalvelu hyväksyy paikalliset asiakkaat eikä mitään tunnelin kautta, mikä näyttää ulkoa täsmälleen suodatetulta portilta.

Lue sitten paikalliset säännöt syntaksissa, jota käyttäisit niiden muuttamiseen, kuten iptables -S INPUT tai nft list chain inet filter input. Tiedostoon kirjoitettu mutta koskaan lataamaton sääntö tai oletusarvoinen pudotus ilman vastaavaa sallintaa hylkää paketit hiljaa. Edelleenlähettävälle yhdyskäytävälle tarkista myös edelleenlähetyksen ja paluupolun asetukset. Ne päättävät, mitä tapahtuu paketeille, jotka reititetään instanssin kautta eikä osoiteta sille.

Tilallinen yhdessä kerroksessa, tilaton seuraavassa

Turvaryhmät muistavat sallimansa virtaukset ja päästävät vastaukset takaisin. Aliverkon käyttöoikeusluettelot ja monet isännän palomuurit eivät pidä tällaista tilaa, joten vain lähtevän suunnan kattava sääntö päästää pyynnön läpi ja pudottaa vastauksen. Älä koskaan siirrä paluuliikenteen oletusta kerrosten välille lukematta toisen kerroksen sääntöä (second layer's rule).

Laskurit ratkaisevat asian nopeammin kuin jokaisen säännön lukeminen tililtä. Kasvava laskuri tarkoittaa, että paketti saapui ja pudotettiin siellä, kun taas nollaan jäätynyt tarkoittaa, ettei se koskaan päässyt niin pitkälle; iptables -vnL INPUT ja nft list ruleset näyttävät nuo luvut, kun säännöt ladattiin laskureilla.

Testaa tuoreella istunnolla, älä elävällä

Jätä lähdeverkko ja testiprofiili rauhaan, kun vertailet näkymiä, ja avaa uusi yhteys jokaisen muutoksen jälkeen. Verkkokonsoliin pääsy portilla 443 ei kerro mitään siitä, onko VPN-taustapalvelu sidottu porttiin 1194, joten testaa tarvitsemaasi porttia. Olemassa oleva istunto on tässä huonoin todistaja. Se jatkaa toimintaansa, kun jokainen uusi kirjautuminen hylätään.

Ennen kuin muokkaat etäkäytäntöä, varmista paluutie, joka ei riipu muuttamastasi polusta. Avaa sitten toinen hallintasessio VPN-testin rinnalle: aiemmin solmittu voi elää pidempään kuin sääntö, joka estää uudet. Kirjaa molempien käytäntöjen omistajat, jotta mikään uudelleenrakennus ei palauta puolta polusta; jos molemmat kerrokset ovat samaa mieltä ja tunneli silti epäonnistuu, kaappaa vieraan rajapinnalla ja tarkista osoite ja portti, jota asiakas todella käyttää.