Cloudfirewall tsjin hostfirewall foar in VPN-tsjinner

Stean de VPN-poarte ta yn it cloudbelied en de hânskud kin dochs op de ynstânsje stjerre: de gast draait syn eigen filter en syn eigen listener-bining, en beide kinne fuortsmite wat it cloud goedkard hat. It omkearde bart ek, as in hostregel de poarte tastiet en in belied boppe dat earst fuortsmyt. Twa eigners, twa regelsets, ien pakketpaad. Rin it yn oarder troch ynstee fan te rieden op ’e meast fertochte laach.

Begjin by de râne en gean nei binnen

De oarder is fêst: iepenbier einpunt, boarnepunt, oanhechte cloudbelied, adres fan de gast, listener fan it proses, lokale ynfierregels. Elke stap lit it pakket troch of einiget it ûndersyk, en dêrom ferspilet begjinne by de gast de measte tiid.

Trochstjoerd klantferkear is in aparte stap, dy’t ûndersocht wurdt nei it dekapsulearjen fan de tunnel. De cloudlaach sjocht allinnich de bûtenste tunnel, dus hy kin in ferbining goedkarre en dochs neat mei in oanfraach fan in ynterne tsjinst te meitsjen hawwe. In tunnel dy’t ferbynt mar gjin ynterne host berikt, wiist meastentiids op trochstjoeren, net op in sletten poarte.

Lês it cloudbelied foar’t jo de gast oanreitsje

Befêstigje de ynfierregel foar de VPN-poarte, it protokol en it boarneberik dat by jo testklant past. Besjoch ek de tagongslist fan it subnet: in twadde filter mei eigen regels en standertwearden. Beide moatte de stream tastiene foar’t in pakket de ynstânsje berikt. In tastimming yn ’e iene en in wegering yn ’e oare is de gewoane foarm fan dizze flater.

Fersmelle it berik oant it wat betsjut. De VPN-poarte foar hiel it ynternet iepenje is maklik te bewizen en dreech te ferdigenjen, wylst in regel fêstset op ien adres brekt as jo testklant fan netwurk feroaret. Notearje de regele-identifikaasje en de eigner fan it belied, sadat de folgjende feroaring nei in persoan werom te lieden is.

Befêstigje de listener, dan de ynfierkeatling

Kontrolearje op de ynstânsje oft it VPN-proses bûn is oan it adres en de poarte dy’t jo ferwachtsje, bygelyks mei ss -lntp 'sport = :1194'. In daemon dy’t allinnich oan 127.0.0.1 bûn is, akseptearret lokale klanten en neat troch de tunnel, wat fan bûten krekt as in filtere poarte liket.

Lês dan de lokale regels yn ’e syntaksis dy’t jo brûke soene om se te feroarjen, lykas iptables -S INPUT of nft list chain inet filter input. In regel skreaun yn in bestân mar nea laden, of in standertdrop sûnder byhearrende tastimming, smyt pakketten stil fuort. Kontrolearje foar in trochstjoerende gateway ek de ynstellingen foar trochstjoeren en weromwei. Dy bepale wat der bart mei pakketten dy’t troch de ynstânsje rûte wurde en net oan har adressearre.

Mei steat yn ’e iene laach, sûnder steat yn ’e folgjende

Feiligengroepen ûnthâlde de streams dy’t se tastien hawwe en litte de antwurden werom. Tagongslisten fan subnetten en in protte hostfirewalls hâlde sa’n steat net by, dus in regel dy’t allinnich de útgeande rjochting dekt, lit de oanfraach troch en smyt it antwurd fuort. Drage nea in oanname oer weromferkear tusken lagen sûnder de regel fan ’e twadde laach te lêzen (second layer's rule).

Tellers beklinje dat flugger as it lêzen fan elke regel yn it akkount. In teller dy’t klimt betsjut dat it pakket dêr oankaam en dêr fuortsmiten waard, wylst ien fêstfrezen op nul betsjut dat it nea sa fier kaam; iptables -vnL INPUT en nft list ruleset litte dy oantallen sjen as de regels mei tellers laden waarden.

Test mei in nije sesje, net mei in libbene

Lit it boarnenetwurk en it testprofyl gewurde wylst jo bylden fergelykje, en iepenje nei elke feroaring in nije ferbining. De webkonsôle op 443 berikke seit neat oer oft de VPN-daemon oan 1194 bûn is, test dus de poarte dy’t jo nedich hawwe. In besteande sesje is hjir de minste tsjûge. Hy bliuwt wurkjen wylst elke nije oanmelding wegere wurdt.

Foar’t jo in fierm belied bewurkje, soargje foar in weromwei dy’t net fan it paad ôfhinget dat jo feroarje. Iepenje dan in twadde beheartsesje njonken de VPN-test: ien dy’t earder oprjochte is, kin de regel oerlibje dy’t nije blokket. Notearje de eigners fan beide beliedden, sadat gjin weropbou de helte fan it paad weromset; as beide lagen it iens binne en de tunnel dochs mislearret, fang dan op ’e ynterface fan ’e gast en kontrolearje it adres en de poarte dy’t de klant echt brûkt.