Cloud firewall მასპინძლის firewall-ის წინააღმდეგ VPN სერვერისთვის

დაუშვით VPN პორტი cloud პოლიტიკაში და ხელის ჩამორთმევა მაინც შეიძლება მოკვდეს ინსტანსზე: სტუმარი საკუთარ ფილტრსა და საკუთარ მსმენელის მიბმას უშვებს და ორივემ შეიძლება გადააგდოს ის, რაც cloud-მა დაამტკიცა. საპირისპიროც ხდება, როცა მასპინძლის წესი პორტს უშვებს, ზემოთ მდგარი პოლიტიკა კი პირველად აგდებს მას. ორი მფლობელი, წესების ორი ნაკრები, პაკეტის ერთი გზა. გაიარეთ ის რიგით, ყველაზე საეჭვო ფენაში გამოცნობის ნაცვლად.

დაიწყეთ კიდიდან და იმოძრავეთ შიგნით

რიგი ფიქსირებულია: საჯარო ბოლო წერტილი, რესურსის ინტერფეისი, მიმაგრებული cloud პოლიტიკა, სტუმრის მისამართი, პროცესის მსმენელი, ლოკალური შემავალი წესები. ყოველი ეტაპი ან პაკეტს ატარებს, ან გამოძიებას ამთავრებს, ამიტომ სტუმრიდან დაწყება ყველაზე მეტ დროს კარგავს.

გადამისამართებული კლიენტის ტრაფიკი ცალკე ეტაპია და მოწმდება გვირაბის დეკაფსულაციის შემდეგ. cloud ფენა მხოლოდ გარე გვირაბს ხედავს, ამიტომ მას შეუძლია კავშირი დაამტკიცოს და მაინც არაფერი ჰქონდეს საერთო შიდა სერვისის მოთხოვნასთან. გვირაბი, რომელიც უკავშირდება, მაგრამ შიდა მასპინძელს არ აღწევს, ჩვეულებრივ გადამისამართებაზე მიუთითებს და არა დახურულ პორტზე.

წაიკითხეთ cloud პოლიტიკა სტუმრის შეხებამდე

დაადასტურეთ VPN პორტის შემავალი წესი, მისი პროტოკოლი და წყაროს ის დიაპაზონი, რომელიც თქვენს სატესტო კლიენტს შეესაბამება. შეამოწმეთ ქვექსელის წვდომის კონტროლის სიაც: მეორე ფილტრი საკუთარი წესებითა და ნაგულისხმევი მნიშვნელობებით. ორივემ უნდა დაუშვას ნაკადი, სანამ პაკეტი ინსტანსამდე მიაღწევს. ნებართვა ერთში და უარი მეორეში ამ შეცდომის ჩვეულებრივი ფორმაა.

შეავიწროვეთ დიაპაზონი, სანამ მას აზრი ექნება. VPN პორტის მთელი ინტერნეტისთვის გახსნა ადვილი დასამტკიცებელია და ძნელი დასაცავი, ხოლო ერთ მისამართზე მიმაგრებული წესი ტყდება, როცა თქვენი სატესტო კლიენტი ქსელს იცვლის. ჩაწერეთ წესის იდენტიფიკატორი და პოლიტიკის მფლობელი, რომ შემდეგი ცვლილება ადამიანამდე მისადგომი იყოს.

დაადასტურეთ მსმენელი, შემდეგ შემავალი ჯაჭვი

ინსტანსზე შეამოწმეთ, რომ VPN პროცესი მიბმულია იმ მისამართსა და პორტზე, რომელსაც ელით, მაგალითად ss -lntp 'sport = :1194'-ით. მხოლოდ 127.0.0.1-ზე მიბმული დემონი ლოკალურ კლიენტებს იღებს და გვირაბიდან არაფერს, რაც გარედან ზუსტად გაფილტრულ პორტს ჰგავს.

შემდეგ წაიკითხეთ ლოკალური წესები იმ სინტაქსით, რომელსაც მათ შესაცვლელად გამოიყენებდით, მაგალითად iptables -S INPUT ან nft list chain inet filter input. ფაილში დაწერილი, მაგრამ არასოდეს ჩატვირთული წესი, ან შესაბამისი ნებართვის გარეშე ნაგულისხმევი გადაგდება, პაკეტებს ჩუმად აგდებს. გადამისამართებადი gateway-სთვის შეამოწმეთ გადამისამართებისა და უკუგზის პარამეტრებიც. სწორედ ისინი წყვეტენ, რა დაემართება ინსტანსის გავლით მარშრუტიზებულ და არა მისამართად მიღებულ პაკეტებს.

მდგომარეობით ერთ ფენაში, მდგომარეობის გარეშე შემდეგში

უსაფრთხოების ჯგუფებს ახსოვთ ნაკადები, რომლებიც დაუშვეს, და პასუხებს უკან უშვებენ. ქვექსელების წვდომის კონტროლის სიები და მასპინძლის ბევრი firewall ასეთ მდგომარეობას არ ინახავს, ამიტომ მხოლოდ გამავალ მიმართულებას დაფარვის წესი მოთხოვნას გაატარებს და პასუხს გადააგდებს. არასოდეს გადაიტანოთ დაბრუნებული ტრაფიკის ვარაუდი ფენებს შორის მეორე ფენის წესის წაკითხვის გარეშე (second layer's rule).

მთვლელები ამას უფრო სწრაფად წყვეტენ, ვიდრე ანგარიშში ყოველი წესის წაკითხვა. მზარდი მთვლელი ნიშნავს, რომ პაკეტი იქ მივიდა და იქვე გადააგდეს, ხოლო ნულზე გაყინული ნიშნავს, რომ ის იქამდე არასოდეს მისულა; iptables -vnL INPUT და nft list ruleset აჩვენებენ ამ რიცხვებს, როცა წესები მთვლელებით ჩაიტვირთა.

სცადეთ ახალი სესიით და არა ცოცხალი სესიით

მიატოვეთ წყარო ქსელი და სატესტო პროფილი უცვლელად, სანამ ხედებს ადარებთ, და ყოველი ცვლილების შემდეგ გახსენით ახალი კავშირი. 443-ზე ვებ კონსოლამდე მისვლა არაფერს ამბობს იმაზე, მიბმულია თუ არა VPN დემონი 1194-ზე, ამიტომ სცადეთ ის პორტი, რომელიც გჭირდებათ. არსებული სესია აქ ყველაზე ცუდი მოწმეა. ის აგრძელებს მუშაობას, სანამ ყოველი ახალი შესვლა უარყოფილია.

დისტანციური პოლიტიკის რედაქტირებამდე უზრუნველყავით დაბრუნების გზა, რომელიც არ არის დამოკიდებული თქვენ მიერ შეცვლილ გზაზე. შემდეგ VPN ტესტის გვერდით გახსენით მეორე ადმინისტრაციული სესია: ადრე დამყარებული სესია შეიძლება იცოცხლოს იმ წესზე დიდხანს, რომელიც ახლებს ბლოკავს. ჩაწერეთ ორივე პოლიტიკის მფლობელი, რომ არცერთმა აღდგენამ არ დააბრუნოს გზის ნახევარი; თუ ორივე ფენა თანახმაა და გვირაბი მაინც ვერ მუშაობს, დაიჭირეთ ტრაფიკი სტუმრის ინტერფეისზე და შეამოწმეთ მისამართი და პორტი, რომელსაც კლიენტი რეალურად იყენებს.