Սահմանափակեք VPN լսողին այն ինտերֆեյսներով, որոնք նկատի ունեիք

VPN ծառայությունը հասանելի է այնտեղից, որտեղ նրա socket-ը կապված է և նրա firewall-ը թույլ է տալիս։ Դրանք երկու առանձին որոշումներ են, և մարդիկ սովորաբար ընդունում են միայն դրանցից մեկը։ Իրական լսողին կարդալը տևում է տաս վայրկյան և լուծում է մի հարց, որը գուշակությունը չի կարող լուծել։ Սկսեք այնտեղից, ապա փոխեք մեկ վերահսկիչ միաժամանակ։

Ստորև ամեն ինչ ենթադրում է, որ դուք կարող եք հրամաններ գործարկել հոսթի վրա root-ով կամ sudo-ով։

Կարդացեք socket-ները նախքան որևէ բան փոխելը

Linux-ում ss -lunp-ը թվարկում է UDP լսողներին իրենց տեղական հասցեով, պորտով և գործընթացով, իսկ ss -ltnp-ը նույնն է անում TCP-ի համար։ Գտեք VPN-ի պորտը և ուշադիր կարդացեք հասցեի սյունը։ 0.0.0.0:51820-ը և [::]:51820-ը նշանակում են բոլոր ինտերֆեյսները, մինչդեռ 10.0.0.5:51820-ը նշանակում է մեկ հասցե մեկ ինտերֆեյսի վրա։ ss-ի ձեռնարկը փաստագրում է սյուները, եթե արդյունքն անծանոթ է։ Եթե գործընթացի անունը բացակայում է, գործարկեք նույն հրամանը sudo-ով, որովհետև սեփականատիրոջ սյունը արտոնություն է պահանջում։

Գրառեք հասցեն։ Դա այն փաստն է, որից կախված է այս ուղեցույցի մնացած մասը։

Կապվեք հասցեին, ոչ թե ցանկությանը

OpenVPN-ը իր local հրահանգով լսողին կապում է կոնկրետ հասցեի, և դա գործընթացի մակարդակով այն սահմանափակելու աջակցվող եղանակն է։ Ոչ բոլոր իրականացումներն են առաջարկում համարժեք, և կապելու տարբերակ չունեցող արձանագրությունը հնարավոր չէ այսպես նեղացնել։ Եթե ձերում ոչ մեկը չկա, firewall-ը ձեր միակ վերահսկիչն է, և տեղակայման նշումները պետք է դա հստակ ասեն։ Մի քանի հասցե ունեցող հոսթում կապվեք թունելին նայող հասցեին. լողացող հասցեին կապվելը սովորաբար սխալ է։

Հասցեի փոփոխությունը վերապրելու կարիք ունեցող ծառայությանը պետք է հնացած կապի պլան, ոչ միայն կոնֆիգուրացիայի տող։

Ստուգեք հասցեների ընտանիքը առանձին

IPv4-ը և IPv6-ը առանձին socket-ներ են։ 0.0.0.0-ին կապված գործընթացը դեռ կարող է ընդունել IPv6 երկշերտ socket-ի միջոցով, կամ ոչ, կախված socket-ի ընտրանքից և հարթակի լռելյայնից։ Միայն IPv4 տողը կարդալը խաբել է մեկից ավելի տեղակայման վերանայումների։ Թվարկեք երկու ընտանիքներն էլ նախքան եզրակացնելը, որ լսողը նեղ է։

Եթե IPv6-ը նախագծի մաս չէ, ապա այն socket-ի մակարդակով անջատելը ավելի մաքուր է, քան հույսը, որ firewall-ը կծածկի այն։ Դա քաղաքականության որոշում է, ուստի գրառեք այն ինտերֆեյսի մյուս ընտրությունների հետ։

Շերտավորեք firewall-ը կապի վրա

Նեղ կապը չի փոխարինում firewall-ի կանոնին, և firewall-ի կանոնը չի նեղացնում wildcard կապը։ Օգտագործեք երկուսն էլ. կապվեք այնտեղ, որտեղ իրականացումը դա աջակցում է, ապա թույլատրեք պորտը միայն այն աղբյուրներից, որոնք պետք է հասնեն դրան։ Ամպային անվտանգության խմբերը կանգնած են հոսթի firewall-ի առաջ, ուստի ստուգեք երկուսն էլ, երբ ուղին անցնում է VPC սահմանը։ Արդյունավետ կանոնը երկուսի հատումն է, և յուրաքանչյուր շերտ կարող է միայն նվազեցնել հասանելիությունը։

Փորձարկեք թույլատրված աղբյուրից և դիտավորյալ բացառված աղբյուրից։ localhost-ից կապը ոչինչ չի ապացուցում հանրային սահմանի մասին։

Գրառեք, ինչ ընտրեցիք

Գրեք կապված հասցեն, այն տիրապետող ինտերֆեյսը, firewall-ի կանոնը և դրա նպատակը։ Փոխարինված NIC-ը կամ վերանշանակված ամպային հասցեն կարող են փոխել ազդեցությունը առանց որևէ մեկի պրոֆիլը խմբագրելու։ Թվագրանշեք նշումը, որովհետև ամպային հասցեները վերանայումների միջև տեղափոխվում են ավելի հաճախ, քան մարդիկ սպասում են։

Այդ նշումն է, որ հաջորդ վերանայումը դարձնում է համեմատություն, այլ ոչ թե հնագիտական նախագիծ։