Takmarkaðu VPN-hlustara við tengin sem þú áttir við

VPN-þjónusta er aðgengileg hvar sem sokkur hennar er bundinn og eldveggurinn leyfir. Þetta eru tvær aðskildar ákvarðanir, og fólk tekur venjulega aðeins aðra þeirra. Að lesa raunverulega hlustarann tekur tíu sekúndur og leysir spurningu sem gisk getur ekki leyst. Byrjaðu þar og breyttu síðan einni stýringu í einu.

Allt hér að neðan gerir ráð fyrir að þú getir keyrt skipanir á hýsilnum með root eða sudo.

Lestu sokkana áður en þú breytir einhverju

Á Linux telur ss -lunp upp UDP-hlustara með staðbundnu vistfangi þeirra, porti og ferli, og ss -ltnp gerir það sama fyrir TCP. Finndu port VPN og lestu vistfangadálkinn vandlega. 0.0.0.0:51820 og [::]:51820 þýða hvert tengi, en 10.0.0.5:51820 þýðir eitt vistfang á einu tengi. ss-handbókin skjalfestir dálkana ef úttakið er ókunnugt. Ef heiti ferlisins vantar skaltu keyra sömu skipun með sudo, því eigandadálkurinn krefst forréttinda.

Skrifaðu vistfangið niður. Það er staðreyndin sem restin af þessari leiðarvísi byggir á.

Bindu við vistfang, ekki við ósk

OpenVPN bindur hlustarann við tiltekið vistfang með local tilskipuninni, og það er studda leiðin til að takmarka hann á ferlisstigi. Ekki býður hver útfærsla jafngildi, og ekki er hægt að þrengja samskiptareglur án bindimöguleika með þessum hætti. Ef þín hefur enga, er eldveggurinn eina stýringin þín, og dreifingarnóturnar ættu að segja það skýrt. Á hýsli með nokkrum vistföngum skaltu binda við það sem snýr að göngunni; að binda við vistfang sem flýtur er venjulega mistök.

Þjónusta sem verður að lifa af vistfangsbreytingu þarf áætlun fyrir úrelt bindingu, ekki bara stillingarlínu.

Athugaðu vistfangafjölskylduna sérstaklega

IPv4 og IPv6 eru aðskildir sokkar. Ferli bundið við 0.0.0.0 getur enn þegið IPv6 gegnum tvíþættan sokk, eða ekki, eftir sokkvalkostinum og sjálfgefnu stillingu kerfisins. Að lesa aðeins IPv4-línuna hefur blekkt fleiri en eina dreifingarúttekt. Teldu upp báðar fjölskyldurnar áður en þú ályktar að hlustarinn sé þröngur.

Ef IPv6 er ekki hluti af hönnuninni er skýrara að slökkva á því á sokklagi en að vona að eldveggurinn nái yfir það. Það er stefnuákvörðun, svo skráðu hana með hinum tengivalinu.

Leggðu eldvegginn ofan á bindingu

Þröng binding kemur ekki í stað eldveggjarreglu, og eldveggjarregla þrengir ekki wildcard-bindingu. Notaðu hvort tveggja: bindu þar sem útfærslan styður það, og leyfðu síðan portið aðeins frá þeim uppsprettum sem eiga að ná því. Öryggishópar í skýinu standa fyrir framan eldvegg hýsilsins, svo athugaðu bæði þegar slóðin fer yfir VPC-mörk. Virka reglan er skurðpunktur þeirra tveggja, og hvert lag getur aðeins dregið frá aðgengi.

Prófaðu frá leyfðri uppsprettu og frá einni sem er vísvitandi undanskilin. Tenging frá localhost sannar ekkert um opinberu mörkin.

Skráðu hvað þú valdir

Skrifaðu niður bundna vistfangið, tengið sem á það, eldveggjarregluna og tilgang hennar. Skipt NIC eða endurúthlutað skýjavistfang getur breytt útsetningu án þess að nokkur breyti sniðinu. Dagsettu nótuna, því skýjavistföng flytjast milli úttektar oftar en fólk á von á.

Það er nótan sem gerir næstu úttekt að samanburði í stað fornleifaverkefnis.