შეზღუდეთ VPN მსმენელი იმ ინტერფეისებზე, რომლებიც გულისხმობდით
Wildcard მსმენელი და firewall-ის წესი სხვადასხვა კონტროლია. წაიკითხეთ ნამდვილი socket-ები ss-ით, შემდეგ შეამოწმეთ მისამართების ოჯახი და firewall.
VPN სერვისი ხელმისაწვდომია ყველგან, სადაც მისი socket მიბმულია და მისი firewall უშვებს. ეს ორი ცალკე გადაწყვეტილებაა და ადამიანები ჩვეულებრივ მხოლოდ ერთს იღებენ. ნამდვილი მსმენელის წაკითხვას ათი წამი სჭირდება და წყვეტს საკითხს, რომელსაც ვარაუდი ვერ გადაწყვეტს. დაიწყეთ იქიდან, შემდეგ შეცვალეთ ერთი კონტროლი ერთდროულად.
ყველაფერი ქვემოთ ვარაუდობს, რომ შეგიძლიათ ბრძანებების გაშვება ჰოსტზე root-ით ან sudo-ით.
წაიკითხეთ socket-ები სანამ რამეს შეცვლიდეთ
Linux-ში ss -lunp ჩამოთვლის UDP მსმენელებს მათი ლოკალური მისამართით, პორტით და პროცესით, ხოლო ss -ltnp იგივეს აკეთებს TCP-ისთვის. მოძებნეთ VPN-ის პორტი და ყურადღებით წაიკითხეთ მისამართის სვეტი. 0.0.0.0:51820 და [::]:51820 ნიშნავს ყველა ინტერფეისს, ხოლო 10.0.0.5:51820 ნიშნავს ერთ მისამართს ერთ ინტერფეისზე. ss-ის სახელმძღვანელო აღწერს სვეტებს, თუ გამოსავალი უცნობია. თუ პროცესის სახელი აკლია, გაუშვით იგივე ბრძანება sudo-ით, რადგან მფლობელის სვეტს პრივილეგია სჭირდება.
ჩაწერეთ მისამართი. ეს არის ის ფაქტი, რომელზეც დამოკიდებულია ამ სახელმძღვანელოს დანარჩენი ნაწილი.
მიაბით მისამართს, არა სურვილს
OpenVPN თავისი local დირექტივით მსმენელს აბამს კონკრეტულ მისამართზე და ეს არის მხარდაჭერილი გზა პროცესის დონეზე მისი შეზღუდვისთვის. ყველა იმპლემენტაცია არ გვთავაზობს ეკვივალენტს და დაბმის ოფციის გარეშე პროტოკოლს ამ გზით ვერ შევივიწროებთ. თუ თქვენსას არ აქვს, firewall თქვენი ერთადერთი კონტროლია და განლაგების შენიშვნებმა ეს ნათლად უნდა თქვან. რამდენიმე მისამართის მქონე ჰოსტზე მიაბით იმას, რომელიც გვირაბისკენ იყურება; მოძრავ მისამართზე მიბმა ჩვეულებრივ შეცდომაა.
სერვისს, რომელმაც მისამართის ცვლილება უნდა გადაიტანოს, სჭირდება გეგმა მოძველებული მიბმისთვის, არა მხოლოდ კონფიგურაციის ხაზი.
შეამოწმეთ მისამართების ოჯახი ცალკე
IPv4 და IPv6 ცალკე socket-ებია. 0.0.0.0-ზე მიბმულ პროცესს შეიძლება ჯერ კიდევ მიიღოს IPv6 ორშრიანი socket-ის მეშვეობით, ან არ მიიღოს, socket-ის ოფციისა და პლატფორმის ნაგულისხმევის მიხედვით. მხოლოდ IPv4 ხაზის წაკითხვამ ერთზე მეტი განლაგების მიმოხილვა შეცდომაში შეიყვანა. ჩამოთვალეთ ორივე ოჯახი სანამ დაასკვნით, რომ მსმენელი ვიწროა.
თუ IPv6 დიზაინის ნაწილი არ არის, socket-ის დონეზე მისი გამორთვა უფრო სუფთაა, ვიდრე იმედი, რომ firewall დაფარავს. ეს პოლიტიკის გადაწყვეტილებაა, ამიტომ ჩაწერეთ ის ინტერფეისის დანარჩენ არჩევანთან ერთად.
დააფართხალეთ firewall მიბმის ზემოთ
ვიწრო მიბმა არ ცვლის firewall-ის წესს და firewall-ის წესი არ ავიწროებს wildcard მიბმას. გამოიყენეთ ორივე: მიაბით სადაც იმპლემენტაცია მხარს უჭერს, შემდეგ დაუშვით პორტი მხოლოდ იმ წყაროებიდან, რომლებმაც უნდა მიაღწიონ მას. ღრუბლოვანი უსაფრთხოების ჯგუფები ჰოსტის firewall-ის წინ დგანან, ამიტომ შეამოწმეთ ორივე, როცა გზა VPC-ის საზღვარს კვეთს. ეფექტური წესი ორივის კვეთაა და თითოეულ ფენას მხოლოდ ხელმისაწვდომობის შემცირება შეუძლია.
გამოსცადეთ დაშვებული წყაროდან და განზრახ გამორიცხული წყაროდან. localhost-იდან კავშირი არაფერს ამტკიცებს საჯარო საზღვრის შესახებ.
ჩაწერეთ რა აირჩიეთ
ჩაწერეთ მიბმული მისამართი, მისი მფლობელი ინტერფეისი, firewall-ის წესი და მისი მიზანი. შეცვლილი NIC ან ხელახლა მინიჭებული ღრუბლოვანი მისამართი შეიძლება შეცვალოს ზემოქმედება ისე, რომ პროფილი არავინ შეცვალოს. დათარიღეთ შენიშვნა, რადგან ღრუბლოვანი მისამართები მიმოხილვებს შორის უფრო ხშირად იძვრებიან, ვიდრე ადამიანები ელიან.
სწორედ ეს შენიშვნა აქცევს შემდეგ მიმოხილვას შედარებად და არა არქეოლოგიურ პროექტად.