Shafin NGINX na VPN kawai: mai sauraro, katangar wuta da jerin izinin HTTP

Hukunce-hukunce uku masu zaman kansu suna tsakanin shafi na sirri da intanet: wace soket ce ke karbar haɗin, wace hanya za ta iya isar da shi, da wanne abokin ciniki na HTTP uwar garken da aka zaba ke amsawa. Bulogin uwar garke yana yanke hukunci na farko ne kawai. Dauki sauran biyun a matsayin sarrafawa daban, in ba haka ba shafin zai yi kama da na sirri yayin da wata tsohuwar ƙofar ta kasance a buɗe. Yawancin gazawar NGINX na VPN kawai suna zuwa daga gwada matakin farko kawai.

Misalin yana amfani da ƙofar Linux OpenVPN a 10.90.0.1 akan tun0, abokan ciniki a 10.90.0.0/24, tushen da aka adana da TCP 8443 da aka tanada wa wannan shiga. Daidaita ƙimar, ka riƙe matakan.

Fara da soket, ba sunan mai masauki ba

Daure mai sauraron HTTPS ga adireshin rami da tashar da aka keɓe. Takamaiman adireshi ya fi sauƙin yin tunani akai fiye da soket na duniya tare da duba suna, domin kernel ba zai ba da tashar ga wani adireshin gida ba.

server {
    listen 10.90.0.1:8443 ssl;
    server_name admin.corp.example;

    ssl_certificate     /etc/nginx/tls/admin-fullchain.pem;
    ssl_certificate_key /etc/nginx/tls/admin-key.pem;

    root /srv/private-site;

    allow 10.90.0.0/24;
    deny all;

    location / {
        try_files $uri $uri/ =404;
    }
}

Takardar shaida dole ta ambaci sunan mai masaukin sabis ɗin da abokan ciniki ke rubutawa, kuma duban DNS na sirri dole ya warware wannan mai masauki zuwa adireshin da aka daure. server_name yana zaɓar mai masaukin karya ne kawai; ba ya tabbatar da kowa. Rashin rikodin DNS yana haifar da kuskuren takardar shaida wanda ya yi kama da gazawar TLS. Duba sunan kafin maye gurbin takardar shaidar.

Karanta ingantaccen tsari kafin ƙara fayil ɗin. Haɗawa da masu sauraro na duniya na iya hidimar tushe ɗaya a wani wuri, kuma uwar garken da aka saba na iya amsa buƙatun da sabon bulogin ba ya gani.

Rufe kowane mai sauraro don wannan abun ciki

Jera umarnin listen ka kwatanta tushen da suke hidima. Bulogin da aka ƙara wa wata manhaja na iya wakiltar zuwa upstream ɗaya, kuma tsohuwar uwar garken da aka saba na iya ci gaba da amsawa bayan an sanya sabuwar. Wannan fitar ita ce ainihin lissafin, ba fayil ɗin da ka gyara yanzu ba. Kwatanta kowane tushe da ke hidimar abun ciki ɗaya.

sudo nginx -T | grep -n "listen\|server_name\|root\|proxy_pass"

Duba duka iyalan adireshi. Daure IPv4 yana barin soket ɗin IPv6 ba tare da an taɓa shi ba, kuma sabon rikodin A ba ya janye tsohuwar amsar AAAA da har yanzu ke nuna hanyar jama'a.

Fitar da tsohuwar uwar masaukin karya a matsayin canji dabam. Cire tagwayen jama'a na sabon bulogin shine yawanci matakin da ke rufe ƙofar da gaske; mai sauraro na sirri yana ƙara wanda aka yi niyya ne kawai.

Iyakance hanyar shigowa a mai masauki

Adireshin sauraro yana iyakance soket, ba ingancin shigowa ba. Fakitin da aka tura zuwa wannan adireshin daga wani wuri har yanzu yana zuwa a matsayin shigar gida, don haka katangar wutar mai masauki tana bukatar nata bayanin game da inda haɗin zai iya zuwa. Shi ya sa daurewa shi kaɗai ba kasafai ke gamsar da bincike ba.

Tare da manufar shigowa ta ƙin da farko kuma babu wani izini mafi faɗi don wannan sabis, ƙayyadaddun ka'ida tana ambaton rami, kewayon tushe, manufa da tashar tare:

sudo ufw allow in on tun0 proto tcp from 10.90.0.0/24 to 10.90.0.1 port 8443

Karanta ingantaccen tsari na katangar wuta kafin amfani da shi. Wata faɗaɗɗiyar karɓa ta baya na iya kayar da ƙuntatawa, kuma wata tsattsauran watsi ta baya na iya hana wannan izinin isarsa. Kada ka wanke ka'idojin da ba su da alaƙa kuma kada ka kashe katangar wuta don misalin ya dace.

Wannan ka'ida shigar mai masauki ce, ba hanya zuwa wata na'urar LAN ba, kuma mai sauraron OpenVPN na waje na ƙofar ya kasance sabis dabam. Idan shafin ya kasance na jama'a a baya, shirya yadda za a fitar da tsohuwar ƙofar da yadda za a kula da zaman da ke akwai.

Riƙe jerin HTTP cikakke yayin da wurare ke canzawa

NGINX yana kimanta shigarwar allow da deny a jere, kuma jerin matakin uwar garke da ke sama yana ba da izinin ƙungiyar da aka ayyana kafin deny na ƙarshe. Tsarin shiga kuma yana rubuta cewa wurin da ya ayyana kowace shigar shiga yana amfani da nasa jerin maimakon jerin iyaye. Jere yana da muhimmanci kamar shigarwar kansu.

Wannan sake saiti shine koma baya da aka saba. Sabon wurin loda, API ko lafiya wanda ya ƙara shigarwa ɗaya yana maye gurbin ƙuntatawar matakin uwar garke a hankali, kuma shafin yana faɗaɗa a hanyar da aka ƙara kwanan nan.

Yi bitar kowane wuri, laƙabi da madadin bulogi a matsayin ɓangare na manufa ɗaya. Idan an haɗa gwajin IP da tabbatarwar NGINX, fahimci satisfy: saitin any na iya ba da izinin abokin ciniki ta wata hanya yayin da ɗayan bai wuce ba. Saka jerin shiga cikin jerin duba wurare.

Ƙin HTTP yana faruwa bayan haɗin TCP ya isa NGINX. Yana ƙara ƙuntatawar cibiyar sadarwa, kuma izinin manhajar kanta har yanzu yana aiki ga kowane mai amfani.

Tabbatar da hanyar raye da yanayin gazawa

Gudanar da mai nazarin tsari, duba soket ɗin da ke sauraro, sannan yi sabon buƙata mai suna daga abokin ciniki da aka yi niyya. Tabbatar takardar shaida ta inganta, sunan DNS ya warware zuwa adireshin da aka daure kuma amsar ta fito daga tushen da ake tsammani.

Gwada tushen da aka ware da wata madadin ƙofar daga baya. Buƙatar da aka yarda da ke aiki ba ta ce komai game da hanyoyin da ka yi niyyar rufewa, kuma a gwajin da aka ware ne mai sauraro da ya rage ko faɗaɗɗiyar karɓar katangar wuta ke bayyana.

Maimaita yanayin tashi ko dawo da VPN. Idan NGINX ya fara kafin adireshin rami ya kasance, daurewar na iya gazawa koda da cikakken fayil. Daidaita shirye-shiryen adireshin kuma ka riƙe hanyar dawowa ta gida kafin canza uwar garken yanar gizo da aka raba.

Rubuta soket, tasha, kewayon tushe da jerin HTTP da suka wuce. Canjin VPN ko DNS na gaba na iya motsa ɗayansu, kuma ƙimomi huɗu masu suna sun fi sauƙin kwatantawa fiye da shafin burauza mai aiki.