הגבילו מאזין VPN לממשקים שהתכוונתם אליהם
מאזין wildcard וכלל חומת אש הם בקרות שונות. קראו את ה-sockets בפועל עם ss, ואז בדקו את משפחת הכתובות ואת חומת האש.
שירות VPN נגיש מכל מקום שבו ה-socket שלו כרוך והחומה שלו מאפשרת. אלו שתי החלטות נפרדות, ולרוב אנשים מקבלים רק אחת מהן. קריאת המאזין בפועל אורכת עשר שניות ומכרעת שאלה שניחוש אינו יכול להכריע. התחילו שם, ואז שנו בקרה אחת בכל פעם.
כל מה שלהלן מניח שאתם יכולים להריץ פקודות במארח עם root או sudo.
קראו את ה-sockets לפני שאתם משנים משהו
ב-Linux, ss -lunp מציג מאזיני UDP עם הכתובת המקומית, הפורט והתהליך שלהם, ו-ss -ltnp עושה את אותו הדבר עבור TCP. חפשו את הפורט של ה-VPN וקראו את עמודת הכתובת בעיון. 0.0.0.0:51820 ו-[::]:51820 פירושם כל ממשק, ואילו 10.0.0.5:51820 פירושו כתובת אחת בממשק אחד. המדריך של ss מתעד את העמודות אם הפלט אינו מוכר. אם שם התהליך חסר, הריצו את אותה פקודה עם sudo, כי עמודת הבעלים דורשת הרשאה.
רשמו את הכתובת. זו העובדה ששאר המדריך הזה תלוי בה.
כרכו לכתובת, לא למשאלה
OpenVPN כורך את המאזין לכתובת מסוימת באמצעות ההנחיה local, וזו הדרך הנתמכת לצמצם אותו ברמת התהליך. לא כל מימוש מציע מקבילה, ופרוטוקול בלי אפשרות כריכה אינו יכול להצטמצם כך. אם לשלכם אין כזו, החומה היא הבקרה היחידה שלכם, והערות הפריסה צריכות לומר זאת בבירור. במארח עם כמה כתובות, כרכו לזו שפונה למנהרה; כריכה לכתובת צפה היא בדרך כלל טעות.
שירות שחייב לשרוד שינוי כתובת צריך תוכנית לכריכה הישנה, לא רק שורת תצורה.
בדקו את משפחת הכתובות בנפרד
IPv4 ו-IPv6 הם sockets נפרדים. תהליך הכרוך ב-0.0.0.0 עדיין עשוי לקבל IPv6 דרך socket דו-מפלסי, או שלא, בהתאם לאפשרות ה-socket וברירת המחדל של הפלטפורמה. קריאה של שורת IPv4 בלבד הוליכה שולל יותר מסקירת פריסה אחת. פרטו את שתי המשפחות לפני שתסיקו שהמאזין צר.
אם IPv6 אינו חלק מהתכנון, השבתתו ברמת ה-socket נקייה יותר מתקווה שהחומה תכסה אותו. זו החלטת מדיניות, ולכן תעדו אותה עם שאר בחירות הממשק.
הניחו את החומה מעל הכריכה
כריכה צרה אינה מחליפה כלל חומה, וכלל חומה אינו מצמצם כריכת wildcard. השתמשו בשניהם: כרכו היכן שהמימוש תומך בכך, ואז התירו את הפורט רק מהמקורות שאמורים להגיע אליו. קבוצות אבטחה בענן עומדות לפני חומת המארח, לכן בדקו את שתיהן כשהמסלול חוצה גבול VPC. הכלל האפקטיבי הוא החיתוך של השניים, וכל שכבה יכולה רק להפחית נגישות.
בדקו ממקור מותר וממקור שהוחרג בכוונה. חיבור מ-localhost אינו מוכיח דבר על הגבול הציבורי.
תעדו מה בחרתם
רשמו את הכתובת הכרוכה, הממשק שמחזיק בה, כלל החומה ומטרתו. החלפת NIC או כתובת ענן שהוקצתה מחדש יכולה לשנות את החשיפה בלי שאיש יערוך את הפרופיל. תארכו את ההערה, כי כתובות ענן זזות בין סקירות לעתים קרובות יותר ממה שאנשים מצפים.
ההערה הזו היא שהופכת את הסקירה הבאה להשוואה במקום לפרויקט ארכיאולוגיה.