In VPN en in webside op ien host sûnder botsingen drage

Dielst ien host tusken in iepenbiere side en in VPN, dan ervest twa fragen, net ien: wat harket wêr, en wa autentisearret wa. Beäntwurdzje beide foardatsto in konfiguraasjebestân oanrekest, want de standertwearden binne ferkeard op manieren dy't pas ûnder lêst blike. In side dy't oer HTTPS lade wurdt, bewiist dat de webharker antwurdet en neat oer de peerharker. Wat folget is in beslissingsfolchoarder dy't foarkomt dat de twa inoar opfrette.

Beslis wat op hokker adres en ferfier harket

Skriuw in tabel mei trije kolommen, adres, ferfier en poarte, en ien rige per tsjinst, ynklusyf de administraasje-ynterface. TCP 443 foar de side en UDP 443 foar de VPN binne gjin konflikt sels as de nûmers oerienkomme, want it ferfier ferskilt. Twa tsjinsten op itselde adres, ferfier en poarte hawwe in regeling nedich dy't de ymplemintaasje dokumintearret, net ien dy'tsto by in steuring betinkst. Dy tabel is ek it artefakt dat de folgjende feroaring neisjenber makket.

Skate adressen of in twadde poarte meitsje eigendom sichtber yn in pakketopname, en dat is mear wurdich as elegance. Guon VPN-ymplemintaasjes stypje it dielen fan in poarte mei in webserver, mar it meganisme is spesifyk: de daemon ûndersiket de earste bytes en stjoert ferkear troch dat net syn eigen protokol is. In algemiene omkearde proxy foar HTTP docht dat net, en it oerskriuwen fan headers sil him gjin fersifere tunnelhânjouting ferstean litte. Lês de ynsetnotysjes fan it protokol, lykas de OpenVPN-harkerdokumintaasje, en folgje de regeling dy't it beskriuwt.

Beslis hokker identiteit by hokker tsjinst heart

In browsersertifikaat en in VPN-peerbewiis binne ferskillende objekten mei ferskillende fertrouwensmodellen. It websertifikaat wurdt falidearre troch in iepenbiere autoriteit en neamt in hostnamme, wylst it peerbewiis in apparaat of in brûker by de konsintrator autentisearret en selsûndertekene of yntern útjûn wêze kin. It iene as it oare wergebrûke wurket yn smelle gefallen en is dy keppeling selden wurdich. De ferifikaasje útskeakelje sadat in dield sertifikaat past, is gjin skiedingsplan; it hellet de kontrôle fuort dy't it bewiis betsjutting joech.

Hâld de twa opslachplakken ûnôfhinklik en skriuw op hokker autoriteit elk útjout. As ien rotearre wurdt, soe de oare gjin feroaring nedich wêze moatte, en as dat wol sa is, is de keppeling it ding om te reparearjen.

Beslis wêr't administraasje wennet

De administraasje-ynterface fan de VPN heart op in behearspaad, nea op de iepenbiere harker, sels as de host al it ynternet tsjinnet. In webserver op 443 betsjut net dat de peer-konsoel fan oeral berikber wêze moat, en de konsole is meastentiids it doel fan hegere wearde. Byn it oan in loopback- of behearsadres, behein it op boarne en hâld in herstelpaad dat net ôfhinklik is fan it feit dat de tunnel oan is. It herstelpaad is wichtich, want de gewoane fout is datst dysels bûten slútst by it reparearjen fan it slot.

Skriuw smelle firewallregels, ien per harker, en neam de ynterface of it tsjinstakkoart wêr't it platform dat stipet. Brede regels dy't de host iepenje omdat de side 443 nedich hat, binne de manier wêrop administraasje-ynterfaces yn skanner-yndeksen bedarje.

Neisjoch dy regels tsjin de harkertabel oan eltse kear as in tsjinst tafoege wurdt. De neisjen is goedkeap en it fangt de regel dy't immen om twa oere moarns tafoege hat.

Beslis wat te dwaan as de twa stride

In host diele betsjut CPU, ûnthâld, bestânskriuwers en bânbreedte diele, en de betwiste boarne is net altyd de foar de hân lizzende. In drokke side kin de ferbiningstabel folje, wurkslots útputte of de skiifrige sa hurd drukke dat VPN-lochging fêstrint. Sjoch nei gebrûk per tsjinst ynstee fan hosttotalen, want in gemiddelde ferberget hokker proses hongeret. As ien wurklêst de oare hieltyd fersteurt, isolearje se dan ynstee fan om it symptoom hinne te tune.

Isolement kin in container wêze, in cgroup-limyt, in aparte rige of in twadde host, en de goede kar hinget ôf fan hokker boarne stridet. In poarteferoaring reparearret hjir neat, en in gruttere ynstânsje reparearret neat as it limyt ien fersêde rige is. Beslis mei in mjitting: neam de boarne, belêstigje him, en kies dan it lytste isolement dat de konkurrinsje fuorthellet.

Ferifiearje fan bûten, en dêrnei wer nei in werstart

Test fan in apparaat dat net op it eigen netwurk fan de host is: laad de side, helje de tunnel omheech en berik ien boarne dy't him freget. Werstart dêrnei elke tsjinst apart en werhelje de oare test, want in werstart is it momint dat in dielde harkerregeling syn oarder ferliest. As de VPN begjint foar de webserver dy't de dielde poarte besit, kin it dielmeganisme him nea oanslute, en it symptoom is in tunnel dy't juster wurke. Meitsje de ôfhinklikheid eksplisyt yn 'e oarder fan 'e units.

Befêstigje dan de grinzen: de side antwurdet op har poarte, de VPN antwurdet op syn eigen, en de administraasje-ynterface antwurdet allinnich fan it behearspaad. Skriuw it resultaat njonken de harkertabel mei de datum. In host dy't nei in werstart alle trije kontrôles hellet, is in host dy'tsto oan immen oars oerdrage kinst sûnder in briefing.