Skýjaeldveggur gegn eldvegg hýsisins fyrir VPN-þjón

Leyfið VPN-gáttinni í skýjastefnunni og handabandið getur samt dáið á tilvikinu: hýsillinn keyrir sína eigin síu og sína eigin hlustandabindingu, og hvort tveggja getur hent því sem skýið samþykkti. Hitt gerist líka, þegar regla á hýslinum leyfir gáttina og stefna ofar hentir henni fyrst. Tveir eigendur, tvö reglusett, ein pakkaleið. Gangið hana í réttri röð í stað þess að giska á grunsamlegasta lagið.

Byrjið á jaðrinum og gangið inn á við

Röðin er föst: opinber endapunktur, viðmót auðlindar, tengd skýjastefna, heimilisfang hýsisins, hlustandi ferlis, staðbundnar inntaksreglur. Hvert þrep hleypir pakkanum í gegn eða endar rannsóknina, og þess vegna eyðir maður mestum tíma í að byrja á hýslinum.

Framsendur biðlaraumferð er sérstakt þrep sem skoðað er eftir að hellirinn er afhjúpaður. Skýjalagið sér aðeins ytri hellinn, svo það getur samþykkt tengingu og á samt ekkert sameiginlegt með beiðni um innri þjónustu. Hellir sem tengist en nær ekki innri hýsli bendir venjulega á framsendingu, ekki lokaða gátt.

Lesið skýjastefnuna áður en þið snertið hýsilinn

Staðfestið inntaksregluna fyrir VPN-gáttina, samskiptaregluna og það upptökusvið sem passar við prófunarbiðlarann. Skoðið einnig aðgangsstýrilista undirnetsins: önnur sía með sínum eigin reglum og sjálfgefnum gildum. Bæði verða að leyfa flæðið áður en pakki nær tilvikinu. Leyfi í öðru og synjun í hinu er venjulegt form þessarar villu.

Þrengið sviðið þar til það þýðir eitthvað. Að opna VPN-gáttina fyrir allt internetið er auðvelt að sanna og erfitt að verja, en regla sem er negld við eitt heimilisfang brotnar þegar prófunarbiðlarinn fer á annað net. Skráið auðkenni reglunnar og eiganda stefnunnar, svo hægt sé að rekja næstu breytingu til einstaklings.

Staðfestið hlustandann, svo inntakskeðjuna

Á tilvikinu, athugið hvort VPN-ferlið er bundið við heimilisfangið og gáttina sem þið búist við, til dæmis með ss -lntp 'sport = :1194'. Púki sem er aðeins bundinn við 127.0.0.1 tekur við staðbundnum biðlurum og engu í gegnum hellinn, sem lítur að utan út nákvæmlega eins og sigtuð gátt.

Lesið síðan staðbundnu reglurnar í þeirri setningagerð sem þið mynduð nota til að breyta þeim, svo sem iptables -S INPUT eða nft list chain inet filter input. Regla sem er skrifuð í skrá en aldrei hlaðin, eða sjálfgefið drop án samsvarandi leyfis, hendir pökkum hljóðlega. Fyrir framsendingargátt, athugið einnig stillingar fyrir framsendingu og bakleið. Þær ráða því hvað verður um pakka sem eru leiðsagðir í gegnum tilvikið en ekki stílaðir á það.

Með stöðu í einu lagi, án stöðu í því næsta

Öryggishópar muna flæðin sem þeir leyfðu og hleypa svörunum aftur inn. Aðgangsstýrilistar undirneta og margir eldveggir hýsla halda ekki slíkri stöðu, svo regla sem nær aðeins yfir útleiðina hleypir beiðninni í gegn og hendir svarinu. Berið aldrei forsendu um bakflæði milli laga án þess að lesa reglu seinna lagsins (second layer's rule).

Teljarar leysa þetta hraðar en að lesa hverja reglu á reikningnum. Teljari sem hækkar þýðir að pakkinn kom og var hent þar, en sá sem er frosinn á núlli þýðir að hann komst aldrei svo langt; iptables -vnL INPUT og nft list ruleset sýna þessar tölur þegar reglurnar voru hlaðnar með teljurum.

Prófið með nýrri lotu, ekki lifandi

Leyfið upptökunetinu og prófunarsniðinu að vera óbreyttum meðan þið berið saman yfirlit, og opnið nýja tengingu eftir hverja breytingu. Að ná vefstjórnborðinu á 443 segir ekkert um hvort VPN-púkinn sé bundinn við 1194, svo prófið gáttina sem þið þurfið. Núverandi lota er versti vitnið hér. Hún heldur áfram að virka meðan hverri nýrri innskráningu er hafnað.

Áður en þið breytið fjarlægri stefnu, tryggið leið til baka sem er ekki háð leiðinni sem þið breytið. Opnið síðan aðra stjórnunarlotu við hlið VPN-prófunarinnar: sú sem var sett á fót fyrr getur lifað lengur en reglan sem lokar fyrir nýjar. Skráið eigendur beggja stefnanna svo engin endurbygging endurheimti hálfa leiðina; ef bæði lögin eru sammála og hellirinn bregst samt, grípið á viðmóti hýsisins og athugið heimilisfangið og gáttina sem biðlarinn notar í raun.