Rajoita VPN-kuuntelija niihin liittymiin, joita tarkoitit
Wildcard-kuuntelija ja palomuurisääntö ovat eri kontrolleja. Lue todelliset socketit ss:llä ja tarkista sitten osoiteperhe ja palomuuri.
VPN-palvelu on tavoitettavissa kaikkialta, missä sen socket on sidottu ja sen palomuuri sallii. Nämä ovat kaksi erillistä päätöstä, ja ihmiset tekevät yleensä vain toisen niistä. Todellisen kuuntelijan lukeminen kestää kymmenen sekuntia ja ratkaisee kysymyksen, jota arvaaminen ei pysty ratkaisemaan. Aloita siitä ja muuta sitten yhtä kontrollia kerrallaan.
Kaikki alla olettaa, että voit ajaa komentoja isännällä root- tai sudo-oikeuksin.
Lue socketit ennen kuin muutat mitään
Linuxissa ss -lunp luettelee UDP-kuuntelijat paikallisen osoitteen, portin ja prosessin kanssa, ja ss -ltnp tekee saman TCP:lle. Etsi VPN:n portti ja lue osoitesarake huolellisesti. 0.0.0.0:51820 ja [::]:51820 tarkoittavat jokaista liittymää, kun taas 10.0.0.5:51820 tarkoittaa yhtä osoitetta yhdessä liittymässä. ss-käsikirja dokumentoi sarakkeet, jos tuloste on outo. Jos prosessin nimi puuttuu, aja sama komento sudolla, koska omistajasarake vaatii oikeudet.
Kirjoita osoite muistiin. Se on tosiasia, josta tämän ohjeen loppuosa riippuu.
Sido osoitteeseen, älä toiveeseen
OpenVPN:n local-direktiivi sitoo kuuntelijan tiettyyn osoitteeseen, ja se on tuettu tapa rajata se prosessitasolla. Jokainen toteutus ei tarjoa vastaavaa, eikä protokollaa, jossa ei ole sidontavaihtoehtoa, voi kaventaa tällä tavalla. Jos omassasi ei ole yhtään, palomuuri on ainoa kontrollisi, ja käyttöönoton muistiinpanojen pitäisi sanoa se selvästi. Isännällä, jolla on useita osoitteita, sido se, joka osoittaa tunnelia kohti; kelluvan osoitteen sitominen on yleensä virhe.
Palvelu, jonka on kestettävä osoitteen muutos, tarvitsee suunnitelman vanhentuneelle sidonnalle, ei vain konfiguraatioriviä.
Tarkista osoiteperhe erikseen
IPv4 ja IPv6 ovat erillisiä socketeja. 0.0.0.0:een sidottu prosessi voi yhä hyväksyä IPv6:n kaksoispino-socketin kautta tai olla hyväksymättä, riippuen socket-asetuksesta ja alustan oletuksesta. Vain IPv4-rivin lukeminen on huijannut useampaa kuin yhtä käyttöönoton tarkistusta. Luettele molemmat perheet ennen kuin päättelet, että kuuntelija on kapea.
Jos IPv6 ei ole osa suunnittelua, sen poistaminen käytöstä socket-tasolla on puhtaampaa kuin toivoa, että palomuuri kattaa sen. Se on periaatepäätös, joten kirjaa se muiden liittymävalintojen kanssa.
Kerrosta palomuuri sidonnan päälle
Kapea sidonta ei korvaa palomuurisääntöä, eikä palomuurisääntö kavenna wildcard-sidontaa. Käytä molempia: sido siellä, missä toteutus tukee sitä, ja salli sitten portti vain niistä lähteistä, joiden pitäisi päästä siihen. Pilven suojausryhmät ovat isännän palomuurin edessä, joten tarkista molemmat, kun polku ylittää VPC-rajan. Tehokas sääntö on näiden kahden leikkaus, ja jokainen kerros voi vain vähentää tavoitettavuutta.
Testaa sallitusta lähteestä ja tarkoituksella poissuljetusta. Yhteys localhostista ei todista mitään julkisesta rajasta.
Kirjaa, mitä valitsit
Kirjoita sidottu osoite, sen omistava liittymä, palomuurisääntö ja sen tarkoitus. Vaihto-NIC tai uudelleen osoitettu pilviosoite voi muuttaa altistumista ilman, että kukaan muokkaa profiilia. Merkitse muistiinpanoon päivämäärä, koska pilviosoitteet liikkuvat tarkistusten välillä useammin kuin ihmiset odottavat.
Juuri tuo muistiinpano tekee seuraavasta tarkistuksesta vertailun eikä arkeologista projektia.