Felhő tűzfal kontra gazda tűzfal VPN-kiszolgálóhoz

Engedélyezze a VPN-portot a felhőszabályzatban, és a kézfogás mégis meghalhat a példányon: a vendég saját szűrőt és saját figyelő-kötést futtat, és bármelyik eldobhatja azt, amit a felhő jóváhagyott. Fordítva is előfordul, amikor a gazda szabálya engedi a portot, és egy fölötte lévő szabályzat előbb eldobja. Két tulajdonos, két szabálykészlet, egy csomagút. Járja végig sorrendben, ahelyett hogy a leginkább gyanús rétegen találgatna.

Kezdje a peremen, és haladjon befelé

A sorrend rögzített: nyilvános végpont, erőforrás-interfész, csatolt felhőszabályzat, vendég cím, folyamatfigyelő, helyi bemeneti szabályok. Minden szakasz vagy átengedi a csomagot, vagy lezárja a vizsgálatot, ezért a vendégnél kezdeni veszíti a legtöbb időt.

A továbbított kliensforgalom külön szakasz, amelyet az alagút kicsomagolása után vizsgálnak. A felhőréteg csak a külső alagutat látja, így jóváhagyhat egy kapcsolatot, és mégsem lehet köze egy belső szolgáltatáskéréshez. Az az alagút, amely csatlakozik, de nem ér el belső gazdát, általában továbbításra utal, nem zárt portra.

Olvassa el a felhőszabályzatot, mielőtt a vendéghez nyúl

Erősítse meg a VPN-port bejövő szabályát, protokollját és a tesztügyfeléhez illő forrástartományt. Nézze meg az alhálózat hozzáférés-vezérlési listáját is: egy második szűrő a saját szabályaival és alapértékeivel. Mindkettőnek engednie kell a forgalmat, mielőtt egy csomag eléri a példányt. Az egyikben engedély, a másikban elutasítás a hiba szokásos formája.

Szűkítse a tartományt, amíg értelme van. A VPN-port megnyitása az egész internetnek könnyen bizonyítható és nehezen védhető, míg az egy címhez rögzített szabály eltörik, amikor a tesztügyfél hálózatot vált. Jegyezze fel a szabály azonosítóját és a szabályzat tulajdonosát, hogy a következő változás egy személyig visszakövethető legyen.

Erősítse meg a figyelőt, majd a bemeneti láncot

A példányon ellenőrizze, hogy a VPN-folyamat a várt címhez és porthoz van-e kötve, például a ss -lntp 'sport = :1194' paranccsal. Az csak 127.0.0.1-hez kötött démon helyi ügyfeleket fogad, és semmit az alagúton át, ami kívülről pontosan szűrt portnak látszik.

Utána olvassa el a helyi szabályokat abban a szintaxisban, amellyel módosítaná őket, például iptables -S INPUT vagy nft list chain inet filter input. A fájlba írt, de soha be nem töltött szabály, vagy a megfelelő engedély nélküli alapértelmezett eldobás csendben eldobja a csomagokat. Továbbító átjáró esetén ellenőrizze a továbbítási és visszaút-beállításokat is. Ezek döntik el, mi történik a példányon át irányított, nem pedig neki címzett csomagokkal.

Állapottal az egyik rétegben, állapot nélkül a következőben

A biztonsági csoportok emlékeznek az engedélyezett folyamokra, és visszaengedik a válaszokat. Az alhálózati hozzáférés-vezérlési listák és sok gazda tűzfal nem tartanak ilyen állapotot, ezért a csak kimenő irányt lefedő szabály átengedi a kérést, és eldobja a választ. Soha ne vigyen át visszaforgalmi feltevést rétegek között anélkül, hogy elolvasná a második réteg szabályát (second layer's rule).

A számlálók gyorsabban eldöntik ezt, mint a fiók minden szabályának elolvasása. A növekvő számláló azt jelenti, hogy a csomag megérkezett és ott eldobták, a nullán fagyott pedig azt, hogy soha nem jutott addig; a iptables -vnL INPUT és a nft list ruleset akkor mutatják ezeket a számokat, amikor a szabályok számlálókkal töltődtek be.

Friss munkamenettel teszteljen, ne élővel

Hagyja érintetlenül a forráshálózatot és a tesztprofilt, miközben a nézeteket összehasonlítja, és minden változtatás után nyisson új kapcsolatot. A 443-as webkonzol elérése semmit sem mond arról, hogy a VPN-démon az 1194-hez van-e kötve, ezért a szükséges portot tesztelje. A meglévő munkamenet itt a legrosszabb tanú. Működik tovább, miközben minden új bejelentkezést elutasítanak.

Mielőtt távoli szabályzatot szerkeszt, biztosítson visszautat, amely nem függ az általa módosított útvonaltól. Ezután nyisson egy második adminisztrációs munkamenetet a VPN-teszt mellett: egy korábban létrehozott túlélheti az újakat blokkoló szabályt. Jegyezze fel mindkét szabályzat tulajdonosát, hogy semmilyen újraépítés ne állítsa vissza az út felét; ha mindkét réteg egyetért, és az alagút mégis meghiúsul, rögzítsen a vendég interfészén, és ellenőrizze a címet és a portot, amelyet az ügyfél valóban használ.