Ograničite VPN slušatelja na sučelja koja ste imali na umu

VPN usluga dostupna je sa svakog mjesta na kojem je njezin socket vezan i na kojem njezin vatrozid dopušta. To su dvije odvojene odluke, a ljudi obično donesu samo jednu od njih. Čitanje stvarnog slušatelja traje deset sekundi i rješava pitanje koje nagađanje ne može. Počnite ondje, a zatim mijenjajte jednu kontrolu po jednu.

Sve u nastavku pretpostavlja da možete izvršavati naredbe na hostu s root ili sudo.

Pročitajte sockete prije nego što bilo što promijenite

Na Linuxu ss -lunp ispisuje UDP slušatelje s njihovom lokalnom adresom, portom i procesom, a ss -ltnp čini isto za TCP. Potražite VPN-ov port i pažljivo pročitajte stupac adrese. 0.0.0.0:51820 i [::]:51820 znače svako sučelje, dok 10.0.0.5:51820 znači jednu adresu na jednom sučelju. ss priručnik dokumentira stupce ako vam je izlaz nepoznat. Ako nedostaje naziv procesa, pokrenite istu naredbu sa sudo, jer stupac vlasnika zahtijeva privilegiju.

Zapišite adresu. To je činjenica o kojoj ovisi ostatak ovog priručnika.

Vežite se na adresu, a ne na želju

OpenVPN svojom direktivom local veže slušatelja na određenu adresu, i to je podržan način da ga ograničite na razini procesa. Nije svaka implementacija ponuda ekvivalent, a protokol bez opcije vezivanja ne može se suziti na taj način. Ako vaša nema nijednu, vatrozid je vaša jedina kontrola, i napomene o postavljanju to trebaju jasno reći. Na hostu s više adresa vežite se na onu koja gleda prema tunelu; vezivanje na adresu koja lebdi obično je pogreška.

Usluga koja mora preživjeti promjenu adrese treba plan za zastarjelo vezivanje, a ne samo konfiguracijski redak.

Provjerite obitelj adresa odvojeno

IPv4 i IPv6 odvojeni su socketi. Proces vezan na 0.0.0.0 još uvijek može prihvaćati IPv6 kroz dual-stack socket, ili ne mora, ovisno o opciji socketa i zadanom ponašanju platforme. Čitanje samo IPv4 retka nasamario je više od jedne revizije postavljanja. Navedite obje obitelji prije nego što zaključite da je slušatelj uzak.

Ako IPv6 nije dio dizajna, isključivanje na razini socketa čišće je od nade da će ga vatrozid pokriti. To je odluka o politici, pa je zapišite uz ostale izbore sučelja.

Naslojite vatrozid povrh vezivanja

Usko vezivanje ne zamjenjuje pravilo vatrozida, a pravilo vatrozida ne sužava wildcard vezivanje. Koristite oboje: vežite se ondje gdje implementacija to podržava, a zatim dopustite port samo s izvora koji bi do njega trebali doći. Cloud sigurnosne grupe stoje ispred vatrozida hosta, pa provjerite oboje kada put prelazi granicu VPC-a. Učinkovito pravilo je presjek dvaju, i svaki sloj može samo oduzeti dostupnost.

Testirajte s dopuštenog izvora i s namjerno isključenog. Veza s localhosta ne dokazuje ništa o javnoj granici.

Zapišite što ste odabrali

Zapišite vezanu adresu, sučelje koje ju posjeduje, pravilo vatrozida i njegovu svrhu. Zamjenski NIC ili dodijeljena cloud adresa mogu promijeniti izloženost bez ikakvog uređivanja profila. Datirajte napomenu, jer se cloud adrese kreću između pregleda češće nego što ljudi očekuju.

Ta napomena čini sljedeći pregled usporedbom umjesto arheološkog projekta.