Suíomh NGINX do VPN amháin: éisteoir, balla dóiteáin agus liosta ceada HTTP

Tá trí chinneadh neamhspleácha idir suíomh príobháideach agus an t-idirlíon: cén soicéad a ghlacann leis an nasc, cén cosán a fhéadann é a sheachadadh, agus cén cliaint HTTP a fhreagraíonn an freastalaí roghnaithe. Ní dhéanann bloc freastalaí ach an chéad chinneadh. Caith leis an dá cheann eile mar rialuithe ar leith, nó beidh an chuma phríobháideach ar an suíomh agus sean-iontráil fós oscailte. Tagann formhór teipeanna NGINX do VPN amháin as an gcéad chiseal amháin a thástáil.

Úsáideann an sampla geata Linux OpenVPN ag 10.90.0.1 ar tun0, cliaint i 10.90.0.0/24, foinsí caomhnaithe agus TCP 8443 curtha in áirithe don iontráil seo. Coigeartaigh na luachanna, coinnigh na sraitheanna.

Tosaigh leis an soicéad, ní le hainm an óstaigh

Ceangail an t-éisteoir HTTPS le seoladh an tolláin agus le port tiomnaithe. Is fusa smaoineamh ar sheoladh sonrach ná soicéad fiáin móide seiceáil ainm, mar ní thabharfaidh an eithne an port do sheoladh áitiúil eile.

server {
    listen 10.90.0.1:8443 ssl;
    server_name admin.corp.example;

    ssl_certificate     /etc/nginx/tls/admin-fullchain.pem;
    ssl_certificate_key /etc/nginx/tls/admin-key.pem;

    root /srv/private-site;

    allow 10.90.0.0/24;
    deny all;

    location / {
        try_files $uri $uri/ =404;
    }
}

Caithfidh an teastas ainm óstaigh an tseirbhíse a scríobhann cliaint a lua, agus caithfidh an radharc DNS príobháideach an t-óstach sin a réiteach chuig an seoladh ceangailte. Ní roghnaíonn server_name ach óstach fíorúil; ní dhéanann sé aon duine a fhíordheimhniú. Cruthaíonn iontráil DNS ar iarraidh earráid teastais atá cosúil le locht TLS. Seiceáil an t-ainm sula n-athraítear an teastas.

Léigh an chumraíocht éifeachtach sula gcuirtear an comhad leis. Is féidir le hionchuir agus éisteoirí fiáine an fhréamh chéanna a fhreastal in áit eile, agus féadann freastalaí réamhshocraithe freagra a thabhairt ar iarratais nach bhfeiceann an bloc nua riamh.

Dún gach éisteoir eile don ábhar sin

Liostaigh na treoracha listen agus cuir i gcomparáid na fréamhacha a fhreastalaíonn siad. Is féidir le bloc a cuireadh leis d'fheidhmchlár eile seachfhreastalaí chuig an upstream céanna, agus féadann seanfhreastalaí réamhshocraithe leanúint ar aghaidh ag freagairt tar éis an ceann nua a bheith i bhfeidhm. Is é an t-aschur sin an fhíorfhardal, ní an comhad a d'athraigh tú díreach. Cuir gach fréamh a fhreastalaíonn an t-ábhar céanna i gcomparáid.

sudo nginx -T | grep -n "listen\|server_name\|root\|proxy_pass"

Seiceáil an dá theaghlach seoltaí. Fágann ceangal IPv4 soicéad IPv6 gan teagmháil, agus ní tharraingíonn taifead A nua siar seanfhreagra AAAA atá fós ag díriú ar chosán poiblí.

Cuir an seanóstach fíorúil ar scor mar athrú ar leith. Is é baint an chúpla phoiblí de chuid an bhloc nua an chéim a dhúnann an iontráil i ndáiríre de ghnáth; ní chuireann an t-éisteoir príobháideach ach an ceann beartaithe leis.

Scóip an cosán ionchuir ag an óstach

Cuireann an seoladh éisteachta teorainn leis an soicéad, ní leis an gcomhéadan ionchuir. Tagann paicéad a ndéantar ródú chuig an seoladh sin ó áit eile isteach mar ionchur áitiúil fós, mar sin teastaíonn ráiteas dá chuid féin ó bhall dóiteáin an óstaigh faoin áit ar féidir leis an nasc teacht as. Sin an fáth gur annamh a shásaíonn ceangal amháin iniúchadh.

Le polasaí ionchuir réamhshocraithe diúltaithe agus gan aon chead níos leithne don tseirbhís seo, ainmníonn riail scóipeáilte an tollán, an raon foinse, an ceann scríbe agus an port le chéile:

sudo ufw allow in on tun0 proto tcp from 10.90.0.0/24 to 10.90.0.1 port 8443

Léigh ord éifeachtach an bhall dóiteáin sula gcuirtear i bhfeidhm é. Féadann glactha leathan níos luaithe an srian a shárú, agus féadann diúltú críochach níos luaithe cosc a chur ar an gcead seo a bhaint amach riamh. Ná flush riail nach mbaineann agus ná múch an balla dóiteáin chun an sampla a chur in oiriúint.

Is ionchur óstaigh an riail sin, ní ród chuig meaisín LAN eile, agus fanann éisteoir seachtrach OpenVPN an gheata ina sheirbhís ar leith. Má bhí an suíomh poiblí roimhe seo, pleanáil conas a chuirtear an tseaniontráil ar scor agus conas a láimhseáiltear seisiúin atá ann cheana.

Coinnigh an liosta HTTP slán agus na láithreacha ag athrú

Déanann NGINX iontrálacha allow agus deny a mheas in ord, agus admhaíonn an liosta ar leibhéal freastalaí thuas an comhthiomsú dearbhaithe sula ndéantar an deny deiridh. Taifeadann an modúl rochtana freisin go n-úsáideann láthair a shainíonn aon iontráil rochtana a liosta féin seachas an liosta tuismitheora. Tá an t-ord chomh tábhachtach leis na hiontrálacha féin.

Is é an t-athsocrú sin an t-aisiompú is gnách. Cuireann láthair nua uaslódála, API nó sláinte a chuireann iontráil amháin leis, ionad an tsriain ar leibhéal freastalaí go ciúin, agus éiríonn an suíomh níos leithne ar an gcosán is déanaí a cuireadh leis.

Déan athbhreithniú ar gach láthair, ailias agus bloc malartach mar chuid den pholasaí céanna. Má chomhcheanglaítear seiceálacha IP le fíordheimhniú NGINX, tuig satisfy: féadann socrú any cliant a ligean isteach trí mheicníocht amháin agus an ceann eile gan bheith pasáilte. Cuir an liosta rochtana sa tseicliosta athbhreithnithe láithreacha.

Tarlaíonn diúltú HTTP tar éis don nasc TCP NGINX a bhaint amach. Comhlánaíonn sé an srian líonra, agus tá údarú an fheidhmchláir féin fós i bhfeidhm do gach úsáideoir.

Fíoraigh an cosán beo agus an cás teipe

Rith an parsálaí cumraíochta, scrúdaigh na soicéid atá ag éisteacht, ansin déan iarratas ainmnithe nua ó chliant beartaithe. Deimhnigh go ndéanann an teastas bailíochtú, go réitíonn an t-ainm DNS chuig an seoladh ceangailte agus go dtagann an freagra ón bhfréamh a bhfuiltear ag súil leis.

Tástáil foinse eisiata agus iontráil mhalartach ina dhiaidh sin. Ní deir iarratas ceadaithe atá ag obair aon rud faoi na cosáin a bhí ar intinn agat a dhúnadh, agus is sa tástáil eisiata a thagann éisteoir fágtha nó glactha leathan balla dóiteáin chun solais.

Déan an cás tosaithe nó aisghabhála VPN a athrá. Má thosaíonn NGINX sula bhfuil seoladh an tolláin ann, féadann an ceangal teip fiú le comhad foirfe. Comhordaigh ullmhacht an tseoladh agus coinnigh cosán aisghabhála áitiúil sula n-athraítear freastalaí gréasáin comhroinnte.

Taifead an soicéad, an port, an raon foinse agus an liosta HTTP a d'éirigh leo. Féadann an chéad athrú VPN nó DNS eile aon cheann acu a bhogadh, agus is fusa ceithre luach ainmnithe a chur i gcomparáid ná cluaisín brabhsálaí atá ag obair.