Ամպային ֆայրվոլ ընդդեմ հոսթի ֆայրվոլի VPN սերվերի համար

Թույլատրեք VPN պորտը ամպային քաղաքականության մեջ, և ձեռքսեղմումը դեռ կարող է մահանալ ինստանսում. հյուրը գործարկում է իր սեփական զտիչը և իր սեփական լսիչի կապակցումը, և դրանցից ցանկացածը կարող է դեն նետել այն, ինչ ամպը հաստատել է։ Հակառակն էլ է լինում, երբ հոսթի կանոնը թույլատրում է պորտը, իսկ վերևի քաղաքականությունը նախ դեն է նետում այն։ Երկու սեփականատեր, կանոնների երկու հավաքածու, փաթեթի մեկ ուղի։ Անցեք այն հերթականությամբ՝ ամենակասկածելի շերտում գուշակելու փոխարեն։

Սկսեք եզրից և շարժվեք դեպի ներս

Հերթականությունը ֆիքսված է՝ հանրային վերջնակետ, ռեսուրսի ինտերֆեյս, կցված ամպային քաղաքականություն, հյուրի հասցե, գործընթացի լսիչ, տեղական մուտքային կանոններ։ Յուրաքանչյուր փուլ կա՛մ փոխանցում է փաթեթը, կա՛մ ավարտում հետաքննությունը, և դրա համար հյուրից սկսելը ամենաշատ ժամանակն է վատնում։

Փոխանցված հաճախորդի տրաֆիկը առանձին փուլ է, որը ստուգվում է թունելը ապամուխրելուց հետո։ Ամպային շերտը տեսնում է միայն արտաքին թունելը, ուստի այն կարող է հաստատել կապը և միաժամանակ որևէ կապ չունենալ ներքին ծառայության հարցման հետ։ Թունելը, որը միանում է, բայց չի հասնում ներքին հոսթի, սովորաբար մատնանշում է փոխանցումը, ոչ թե փակ պորտը։

Կարդացեք ամպային քաղաքականությունը՝ նախքան հյուրին դիպչելը

Հաստատեք VPN պորտի մուտքային կանոնը, դրա արձանագրությունը և աղբյուրի այն շրջանակը, որը համապատասխանում է ձեր փորձարկման հաճախորդին։ Ստուգեք նաև ենթացանցի մուտքի վերահսկման ցանկը՝ երկրորդ զտիչն իր իսկ կանոններով և լռելյայն արժեքներով։ Երկուսն էլ պետք է թույլատրեն հոսքը, նախքան փաթեթը կհասնի ինստանսին։ Թույլտվությունը մեկում և մերժումը մյուսում այս սխալի սովորական ձևն է։

Նեղացրեք շրջանակը, մինչև այն իմաստ ստանա։ VPN պորտը ողջ ինտերնետի համար բացելը հեշտ է ապացուցել և դժվար պաշտպանել, մինչդեռ մեկ հասցեին ամրացված կանոնը կոտրվում է, երբ ձեր փորձարկման հաճախորդը փոխում է ցանցը։ Գրանցեք կանոնի նույնացուցիչը և քաղաքականության սեփականատիրոջը, որպեսզի հաջորդ փոփոխությունը հասանելի լինի մինչև անձ։

Հաստատեք լսիչը, ապա մուտքային շղթան

Ինստանսում ստուգեք, որ VPN գործընթացը կապված է ձեր սպասած հասցեին և պորտին, օրինակ՝ ss -lntp 'sport = :1194'-ով։ Միայն 127.0.0.1-ին կապված դեյմոնը ընդունում է տեղական հաճախորդներ և ոչինչ՝ թունելով, ինչը դրսից ճիշտ զտված պորտի տեսք ունի։

Այնուհետև կարդացեք տեղական կանոնները նույն շարահյուսությամբ, որով կփոխեիք դրանք, օրինակ՝ iptables -S INPUT կամ nft list chain inet filter input։ Ֆայլում գրված, բայց երբևէ չբեռնված կանոնը, կամ համապատասխան թույլտվություն չունեցող լռելյայն դեն նետումը, փաթեթները լուռ վերացնում է։ Փոխանցող գեյթվեյի համար ստուգեք նաև փոխանցման և հակադարձ ուղու կարգավորումները։ Դրանք են որոշում, թե ինչ է պատահում ինստանսով երթուղղորդվող, ոչ թե դրան ուղղված փաթեթներին։

Վիճակով մեկ շերտում, առանց վիճակի հաջորդում

Անվտանգության խմբերը հիշում են թույլատրված հոսքերը և թույլ են տալիս պատասխանները վերադառնալ։ Ենթացանցերի մուտքի վերահսկման ցանկերը և հոսթի շատ ֆայրվոլներ նման վիճակ չեն պահում, ուստի միայն ելքային ուղղությունը ծածկող կանոնը բաց է թողնում հարցումը և դեն նետում պատասխանը։ Երբեք շերտերի միջև հետադարձ տրաֆիկի ենթադրություն մի՛ տարեք՝ առանց կարդալու երկրորդ շերտի կանոնը (second layer's rule)։

Հաշվիչները դա լուծում են ավելի արագ, քան հաշվում եղած յուրաքանչյուր կանոն կարդալը։ Աճող հաշվիչը նշանակում է, որ փաթեթը հասել է և այնտեղ դեն է նետվել, մինչդեռ զրոյի վրա սառածը նշանակում է, որ այն երբեք այդքան հեռու չի հասել. iptables -vnL INPUT-ը և nft list ruleset-ը ցույց են տալիս այդ թվերը, երբ կանոնները բեռնվել են հաշվիչներով։

Փորձարկեք նոր սեսիայով, ոչ թե գործողով

Թողեք աղբյուր ցանցը և փորձարկման պրոֆիլը անձեռնմխելի, մինչ տեսքերը համեմատում եք, և յուրաքանչյուր փոփոխությունից հետո նոր կապ բացեք։ 443-ի վեբ կոնսոլին հասնելը ոչինչ չի ասում այն մասին՝ արդյոք VPN դեյմոնը կապված է 1194-ին, ուստի փորձարկեք ձեզ անհրաժեշտ պորտը։ Գոյություն ունեցող սեսիան այստեղ ամենավատ վկան է։ Այն շարունակում է աշխատել, մինչ յուրաքանչյուր նոր մուտք մերժվում է։

Նախքան հեռավոր քաղաքականությունը խմբագրելը, ապահովեք վերադարձի ուղի, որը կախված չէ ձեր փոփոխած ուղուց։ Ապա VPN փորձարկման կողքին բացեք երկրորդ ադմինիստրատիվ սեսիա. ավելի վաղ հաստատվածը կարող է ապրել ավելի երկար, քան նորերը արգելափակող կանոնը։ Գրանցեք երկու քաղաքականությունների սեփականատերերին, որպեսզի ոչ մի վերակառուցում չվերականգնի ուղու կեսը. եթե երկու շերտերը համաձայն են, և թունելը դեռ ձախողվում է, գրավեք հյուրի ինտերֆեյսում և ստուգեք հասցեն ու պորտը, որն իրականում օգտագործում է հաճախորդը։