VPN श्रोता को उन्हीं इंटरफ़ेस तक सीमित करें जिन्हें आप चाहते थे

VPN सेवा वहाँ से पहुँच योग्य होती है जहाँ उसका सॉकेट बंधा हो और उसका फ़ायरवॉल अनुमति दे। ये दो अलग निर्णय हैं, और लोग आमतौर पर इनमें से केवल एक लेते हैं। वास्तविक श्रोता पढ़ने में दस सेकंड लगते हैं और ऐसा प्रश्न हल होता है जो अनुमान नहीं हल कर सकता। वहीं से शुरू करें, फिर एक बार में एक नियंत्रण बदलें।

नीचे सब कुछ मानता है कि आप होस्ट पर root या sudo के साथ कमांड चला सकते हैं।

कुछ भी बदलने से पहले सॉकेट पढ़ें

Linux पर, ss -lunp UDP श्रोताओं को उनके स्थानीय पते, पोर्ट और प्रक्रिया के साथ सूचीबद्ध करता है, और ss -ltnp TCP के लिए वही करता है। VPN का पोर्ट खोजें और पता स्तंभ ध्यान से पढ़ें। 0.0.0.0:51820 और [::]:51820 का अर्थ हर इंटरफ़ेस है, जबकि 10.0.0.5:51820 का अर्थ एक इंटरफ़ेस पर एक पता है। ss मैनुअल स्तंभों का दस्तावेज़ीकरण करता है यदि आउटपुट अपरिचित हो। यदि प्रक्रिया का नाम गायब है, तो वही कमांड sudo के साथ चलाएँ, क्योंकि मालिक स्तंभ को विशेषाधिकार चाहिए।

पता लिख लें। यह वह तथ्य है जिस पर इस गाइड का बाकी हिस्सा निर्भर करता है।

इच्छा से नहीं, पते से बाँधें

OpenVPN अपने local निर्देश से श्रोता को एक विशिष्ट पते से बाँधता है, और प्रक्रिया स्तर पर इसे सीमित करने का यही समर्थित तरीका है। हर कार्यान्वयन समकक्ष नहीं देता, और बाइंड विकल्प के बिना प्रोटोकॉल को इस तरह संकीर्ण नहीं किया जा सकता। यदि आपके पास कोई नहीं है, तो फ़ायरवॉल ही आपका एकमात्र नियंत्रण है, और डिप्लॉयमेंट नोट्स को यह स्पष्ट कहना चाहिए। कई पतों वाले होस्ट पर, टनल की ओर देखने वाले पते से बाँधें; तैरते पते से बाँधना आमतौर पर गलती है।

पता परिवर्तन सहने वाली सेवा को पुराने बंधन के लिए योजना चाहिए, केवल कॉन्फ़िगरेशन पंक्ति नहीं।

पता परिवार अलग से जाँचें

IPv4 और IPv6 अलग सॉकेट हैं। 0.0.0.0 से बंधी प्रक्रिया ड्यूअल-स्टैक सॉकेट के माध्यम से अभी भी IPv6 स्वीकार कर सकती है, या नहीं भी, सॉकेट विकल्प और प्लेटफ़ॉर्म डिफ़ॉल्ट पर निर्भर करता है। केवल IPv4 पंक्ति पढ़ना एक से अधिक डिप्लॉयमेंट समीक्षाओं को भ्रमित कर चुका है। श्रोता संकीर्ण है यह निष्कर्ष निकालने से पहले दोनों परिवार सूचीबद्ध करें।

यदि IPv6 डिज़ाइन का हिस्सा नहीं है, तो सॉकेट स्तर पर इसे अक्षम करना इस आशा से साफ़ है कि फ़ायरवॉल इसे ढक देगा। यह नीति निर्णय है, इसलिए इसे इंटरफ़ेस विकल्पों के साथ दर्ज करें।

बंधन के ऊपर फ़ायरवॉल की परत रखें

संकीर्ण बंधन फ़ायरवॉल नियम की जगह नहीं लेता, और फ़ायरवॉल नियम wildcard बंधन को संकीर्ण नहीं करता। दोनों का उपयोग करें: जहाँ कार्यान्वयन समर्थन दे वहाँ बाँधें, फिर पोर्ट को केवल उन स्रोतों से अनुमति दें जिन्हें वहाँ पहुँचना चाहिए। क्लाउड सुरक्षा समूह होस्ट फ़ायरवॉल के सामने बैठते हैं, इसलिए जब पथ VPC सीमा पार करे तो दोनों जाँचें। प्रभावी नियम दोनों का प्रतिच्छेदन है, और हर परत केवल पहुँच घटा सकती है।

अनुमत स्रोत और जानबूझकर बाहर किए गए स्रोत से परीक्षण करें। localhost से कनेक्शन सार्वजनिक सीमा के बारे में कुछ सिद्ध नहीं करता।

आपने क्या चुना, दर्ज करें

बंधा पता, उसका स्वामी इंटरफ़ेस, फ़ायरवॉल नियम और उसका उद्देश्य लिखें। बदला गया NIC या पुनः आवंटित क्लाउड पता बिना किसी द्वारा प्रोफ़ाइल संपादित किए जोखिम बदल सकता है। नोट पर तारीख डालें, क्योंकि क्लाउड पते समीक्षाओं के बीच लोगों की अपेक्षा अधिक बार बदलते हैं।

यही नोट अगली समीक्षा को पुरातत्व परियोजना के बजाय तुलना बनाता है।