Behein in VPN-harker ta de ynterfaces dy't jo bedoelden
In wildcard-harker en in firewall-regel binne ferskillende kontrôles. Lês de echte sockets mei ss, en kontrolearje dan de adresfamylje en de firewall.
In VPN-tsjinst is berikber fanôf eltse plak dêr't syn socket bûn is en syn firewall it tastean. Dat binne twa aparte beslissingen, en minsken nimme meastentiids mar ien fan beide. It lêzen fan de echte harker duorret tsien sekonden en besljochtet in fraach dy't rieden net kin. Begjin dêr, en feroarje dan ien kontrôle tagelyk.
Alles hjirûnder giet derfan út dat jo opdrachten op de host mei root of sudo útfiere kinne.
Lês de sockets foar't jo wat feroarje
Op Linux listet ss -lunp UDP-harkers op mei har pleatslike adres, poarte en proses, en ss -ltnp docht itselde foar TCP. Sykje de poarte fan de VPN en lês de adreskolom soarchfâldich. 0.0.0.0:51820 en [::]:51820 betsjutte elk ynterface, wylst 10.0.0.5:51820 ien adres op ien ynterface betsjut. De ss-hantlieding dokumintearret de kolommen as de útfier ûnbekend is. As de prosesnamme ûntbrekt, rin dan itselde opdracht mei sudo, want de eignerkolom freget privileezjes.
Skriuw it adres op. It is it feit dêr't de rest fan dizze hantlieding fan ôfhinget.
Bin oan in adres, net oan in winsk
OpenVPN bynt de harker mei syn local-rjochtline oan in spesifyk adres, en dat is de stipe manier om it op prosesnivo te beheinen. Net elke ymplemintaasje biedt in ekwivalint, en in protokol sûnder binopsje kin net sa ferneaud wurde. As jo gjin ien hawwe, is de firewall jo iennichste kontrôle, en de ynsetnotysjes moatte dat dúdlik sizze. Op in host mei ferskate adressen, bin oan it adres dat nei de tunnel sjocht; bin oan in adres dat driuwt is meastentiids in flater.
In tsjinst dy't in adresferoaring oerlibje moat, hat in plan nedich foar de ferâldere binding, net allinnich in konfiguraasjeline.
Kontrolearje de adresfamylje apart
IPv4 en IPv6 binne aparte sockets. In proses bûn oan 0.0.0.0 kin noch IPv6 akseptearje fia in dûbel-stack-socket, of net, ôfhinklik fan 'e socket-opsje en de platformstandert. Allinnich de IPv4-line lêze hat mear as ien ynsetbeoardieling mislaat. List beide famyljes foar't jo konkludearje dat de harker smel is.
As IPv6 gjin diel fan it ûntwerp is, is it skjinner om it op socketnivo út te skeakeljen as om te hoopjen dat de firewall it dekt. Dat is in beliedsbeslút, dus skriuw it op mei de rest fan 'e ynterfacekarren.
Liz de firewall oer de binding
In smelle binding ferfangt gjin firewall-regel, en in firewall-regel ferneaut gjin wildcard-binding. Brûk beide: bin dêr't de ymplemintaasje it stipet, en stean dan de poarte allinnich ta fan 'e boarnen dy't it berikke moatte. Cloud-feiligensgroepen steane foar de firewall fan 'e host, dus kontrolearje beide as it paad in VPC-grins oerstekt. De effektive regel is it snijflak fan 'e twa, en elke laach kin allinnich berikberens ôfnimme.
Test fan in tastiene boarne en fan ien dy't bewust útsletten is. In ferbining fan localhost bewissiget neat oer de publike grins.
Skriuw op wat jo keazen hawwe
Skriuw it bûne adres op, it ynterface dat it besit, de firewall-regel en it doel dêrfan. In ferfanging-NIC of in opnij tawiisd cloud-adres kin eksposysje feroarje sûnder dat immen it profyl bewurket. Datearje de notysje, want cloud-adressen ferpleatse har tusken beoardielingen faker as minsken ferwachtsje.
Dy notysje makket de folgjende beoardieling in ferliking yn plak fan in argeologyprojekt.