VPN:n ja verkkosivuston ajaminen samalla isännällä ilman törmäyksiä

Kun jaat yhden isännän julkisen sivuston ja VPN:n kesken, perit kaksi kysymystä, et yhtä: mikä kuuntelee missä ja kuka todentaa kenet. Vastaa molempiin ennen kuin kosket asetustiedostoon, sillä oletusarvot ovat väärin tavoilla, jotka näkyvät vasta kuormituksessa. HTTPS:n kautta latautuva sivu todistaa, että verkkokuuntelija vastaa, eikä mitään vertaiskuuntelijasta. Seuraavaksi tulee päätösjärjestys, joka estää kahta syömästä toisiaan.

Päätä, mikä kuuntelee millä osoitteella ja siirtotavalla

Kirjoita taulukko, jossa on kolme saraketta, osoite, siirtotapa ja portti, ja yksi rivi palvelua kohden, mukaan lukien hallintaliittymä. TCP 443 sivustolle ja UDP 443 VPN:lle eivät ole ristiriita, vaikka numerot täsmäävät, koska siirtotapa on eri. Kaksi palvelua samassa osoitteessa, siirtotavassa ja portissa tarvitsevat järjestelyn, jonka toteutus dokumentoi, eikä sellaista, jonka keksit keskeytyksen aikana. Taulukko on myös artefakti, joka tekee seuraavasta muutoksesta tarkistettavan.

Erilliset osoitteet tai toinen portti tekevät omistajuuden näkyväksi pakettikaappauksessa, ja se on arvokkaampaa kuin tyylikkyys. Jotkin VPN-toteutukset tukevat portin jakamista verkkopalvelimen kanssa, mutta mekanismi on erityinen: taustaprosessi tutkii ensimmäiset tavut ja välittää liikennettä, joka ei ole sen omaa protokollaa. Yleinen HTTP-käänteisvälityspalvelin ei tee sitä, eikä otsikoiden uudelleenkirjoitus saa sitä ymmärtämään salatun tunnelin kättelyä. Lue protokollan käyttöönotto-ohjeet, kuten OpenVPN-kuuntelijan dokumentaatio, ja noudata järjestelyä, jonka se kuvaa.

Päätä, mikä identiteetti kuuluu millekin palvelulle

Selaimen varmenne ja VPN-vertaisen tunniste ovat eri objekteja, joilla on erilaiset luottamusmallit. Verkkovarmenne validoidaan julkisen viranomaisen toimesta ja nimeää isäntänimen, kun taas vertaisen tunniste todentaa laitteen tai käyttäjän keskittimelle ja voi olla itse allekirjoitettu tai sisäisesti myönnetty. Toisen käyttäminen toisena toimii kapeissa tapauksissa ja on harvoin kytkennän arvoista. Vahvistuksen poistaminen käytöstä, jotta jaettu varmenne sopisi, ei ole erottelusuunnitelma; se poistaa tarkistuksen, joka antoi tunnisteelle merkityksen.

Pidä kaksi säilöä erillisinä ja kirjoita ylös, mikä viranomainen myöntää kumman. Kun toinen vaihdetaan, toisen ei pitäisi tarvita muutosta, ja jos tarvitsee, kytkentä on se, mitä pitää korjata.

Päätä, missä hallinto asuu

VPN:n hallintaliittymä kuuluu hallintapolulle, ei koskaan julkiselle kuuntelijalle, vaikka isäntä palvelisi jo internetiä. Verkkopalvelin portissa 443 ei tarkoita, että vertaisten konsolin pitäisi olla saavutettavissa kaikkialta, ja konsoli on yleensä arvokkaampi kohde. Sido se loopback- tai hallintaosoitteeseen, rajoita sitä lähteen mukaan ja pidä palautumispolku, joka ei riipu siitä, että tunneli on pystyssä. Palautumispolku on tärkeä, koska tavallinen vika on lukita itsensä ulos lukkoa korjatessa.

Kirjoita kapeat palomuurisäännöt, yksi kuuntelijaa kohden, ja nimeä liitäntä tai palvelutili, jos alusta tukee sitä. Laajat säännöt, jotka avaavat isännän, koska sivusto tarvitsee 443:n, ovat tapa, jolla hallintaliittymät päätyvät skannerien hakemistoihin.

Tarkista nämä säännöt kuuntelijataulukkoa vasten aina, kun palvelu lisätään. Tarkistus on halpa, ja se nappaa säännön, jonka joku lisäsi kahdelta yöllä.

Päätä, mitä tehdä, kun kahdella on kilpailua

Isännän jakaminen tarkoittaa prosessorin, muistin, tiedostokahvojen ja kaistanleveyden jakamista, eikä kiistelty resurssi ole aina ilmeinen. Kiireinen sivusto voi täyttää yhteystaulukon, kuluttaa työpaikat loppuun tai työntää levyjonoa niin kovaa, että VPN:n kirjaus pysähtyy. Seuraa käyttöä palveluittain isännän kokonaissummien sijaan, koska keskiarvo piilottaa, mikä prosessi näkee nälkää. Jos yksi työkuorma häiritsee toista toistuvasti, eristä ne sen sijaan, että virität oireen ympärillä.

Eristäminen voi olla kontti, cgroup-raja, erillinen jono tai toinen isäntä, ja oikea valinta riippuu siitä, mikä resurssi kilpailee. Portin muutos ei korjaa täällä mitään, eikä suurempi instanssi korjaa mitään, jos rajaina on yksi kylläinen jono. Päätä mittauksella: nimeä resurssi, kuormita sitä ja valitse sitten pienin eristys, joka poistaa kilpailun.

Vahvista ulkoa ja sitten uudelleen uudelleenkäynnistyksen jälkeen

Testaa laitteesta, joka ei ole isännän omassa verkossa: lataa sivusto, nosta tunneli ja saavuta yksi resurssi, joka vaatii sen. Käynnistä sitten jokainen palvelu erikseen uudelleen ja toista toinen testi, koska uudelleenkäynnistys on hetki, jolloin jaetun kuuntelijan järjestely menettää järjestyksensä. Jos VPN käynnistyy ennen verkkopalvelinta, joka omistaa jaetun portin, jakamismekanismi ei ehkä koskaan liity, ja oireena on tunneli, joka toimi eilen. Tee riippuvuudesta selvä yksiköiden järjestyksessä.

Vahvista sitten rajat: sivusto vastaa portissaan, VPN vastaa omassaan ja hallintaliittymä vastaa vain hallintapolulta. Kirjaa tulos kuuntelijataulukon viereen päivämäärän kanssa. Isäntä, joka läpäisee kaikki kolme tarkistusta uudelleenkäynnistyksen jälkeen, on isäntä, jonka voit luovuttaa toiselle ilman perehdytystä.