VPN-ისა და ვებსაიტის ერთ ჰოსტზე გაშვება შეჯახების გარეშე

როცა ერთ ჰოსტს ყოფთ საჯარო საიტსა და VPN-ს შორის, მემკვიდრეობით იღებთ ორ კითხვას და არა ერთს: რა სად უსმენს და ვინ ვის ამოწმებს. უპასუხეთ ორივეს, სანამ კონფიგურაციის ფაილს შეეხებით, რადგან ნაგულისხმევი მნიშვნელობები არასწორია ისე, რაც მხოლოდ დატვირთვის ქვეშ ჩანს. HTTPS-ით ჩატვირთული გვერდი ამტკიცებს, რომ ვებ მსმენელი პასუხობს, და არაფერს ამბობს პირის მსმენელზე. შემდეგი არის გადაწყვეტილებების რიგი, რომელიც ხელს უშლის ორივეს ერთმანეთის შეჭმას.

გადაწყვიტეთ, რა უსმენს რომელ მისამართსა და ტრანსპორტზე

დაწერეთ ცხრილი სამი სვეტით, მისამართი, ტრანსპორტი და პორტი, და ერთი სტრიქონი თითო სერვისისთვის, ადმინისტრაციული ინტერფეისის ჩათვლით. TCP 443 საიტისთვის და UDP 443 VPN-ისთვის არ არის შეჯახება, თუნდაც რიცხვები ემთხვეოდეს, რადგან ტრანსპორტი განსხვავებულია. ორ სერვისს ერთსა და იმავე მისამართზე, ტრანსპორტსა და პორტზე სჭირდება შეთანხმება, რომელსაც იმპლემენტაცია აფიქსირებს და არა ის, რასაც ავარიის დროს გამოიგონებთ. ეს ცხრილი ასევე ის არტეფაქტია, რომელიც შემდეგ ცვლილებას განსახილველს ხდის.

ცალკე მისამართები ან მეორე პორტი ხდის საკუთრებას პაკეტების აღებაში ხილულს და ეს ელეგანტურობაზე მეტად ღირს. ზოგიერთი VPN იმპლემენტაცია მხარს უჭერს პორტის გაზიარებას ვებ სერვერთან, მაგრამ მექანიზმი სპეციფიკურია: დემონი ამოწმებს პირველ ბაიტებს და გადასცემს იმ ტრაფიკს, რომელიც მისი საკუთარი პროტოკოლი არ არის. ზოგადი HTTP შებრუნებული პროქსი ამას არ აკეთებს და სათაურების გადაწერა ვერ აიძულებს მას გაიგოს დაშიფრული გვირაბის ხელის ჩამორთმევა. წაიკითხეთ პროტოკოლის განლაგების შენიშვნები, მაგალითად OpenVPN მსმენელის დოკუმენტაცია, და მიჰყევით იმ წყობას, რომელსაც ის აღწერს.

გადაწყვიტეთ, რომელი იდენტობა ეკუთვნის რომელ სერვისს

ბრაუზერის სერტიფიკატი და VPN პირის რწმუნება განსხვავებული ობიექტებია განსხვავებული ნდობის მოდელებით. ვებ სერტიფიკატს ამოწმებს საჯარო ორგანო და ასახელებს ჰოსტის სახელს, ხოლო პირის რწმუნება ამოწმებს მოწყობილობას ან მომხმარებელს კონცენტრატორთან და შეიძლება იყოს თვითხელმოწერილი ან შიდად გაცემული. ერთის მეორედ გამოყენება ვიწრო შემთხვევებში მუშაობს და იშვიათად ღირს ეს დაკავშირება. ვერიფიკაციის გამორთვა იმისთვის, რომ საერთო სერტიფიკატი მოერგოს, გამოყოფის გეგმა არ არის; ის შლის იმ შემოწმებას, რომელიც რწმუნებას აზრს აძლევდა.

შეინახეთ ორი საცავი დამოუკიდებლად და ჩაწერეთ, რომელი ორგანო გასცემს თითოეულს. როცა ერთი ბრუნავს, მეორეს ცვლილება არ უნდა დასჭირდეს, ხოლო თუ სჭირდება, დაკავშირებაა ის, რაც უნდა გამოსწორდეს.

გადაწყვიტეთ, სად ცხოვრობს ადმინისტრირება

VPN-ის ადმინისტრაციული ინტერფეისი მართვის გზას ეკუთვნის და არასოდეს საჯარო მსმენელს, თუნდაც ჰოსტი უკვე ინტერნეტს ემსახურებოდეს. ვებ სერვერი 443-ზე არ ნიშნავს, რომ პირების კონსოლი ყველგან ხელმისაწვდომი უნდა იყოს და კონსოლი ჩვეულებრივ უფრო ღირებული სამიზნეა. მიაბით ის ლუპბეკ ან მართვის მისამართს, შეზღუდეთ წყაროს მიხედვით და შეინახეთ აღდგენის გზა, რომელიც არ არის დამოკიდებული გვირაბის აწეულ ყოფაზე. აღდგენის გზა მნიშვნელოვანია, რადგან ჩვეულებრივი მარცხი არის იმის დაშვება, რომ საკუთარი თავი გარეთ ჩაკეტოთ ბოქლომის შეკეთებისას.

დაწერეთ ვიწრო ფაირვოლის წესები, ერთი თითო მსმენელისთვის, და დაასახელეთ ინტერფეისი ან სერვისის ანგარიში, სადაც პლატფორმა ამას მხარს უჭერს. ფართო წესები, რომლებიც ჰოსტს ხსნიან იმიტომ, რომ საიტს 443 სჭირდება, არის გზა, რომლითაც ადმინისტრაციული ინტერფეისები სკანერების ინდექსებში ხვდება.

გადახედეთ ამ წესებს მსმენელთა ცხრილთან ყოველ ჯერზე, როცა სერვისი ემატება. გადახედვა იაფია და ის იჭერს იმ წესს, რომელიც ვინმემ ღამის ორზე დაამატა.

გადაწყვიტეთ, რა გააკეთოთ, როცა ორივე ეჯიბრება

ჰოსტის გაზიარება ნიშნავს პროცესორის, მეხსიერების, ფაილის დესკრიპტორებისა და გამტარობის გაზიარებას და სადავო რესურსი ყოველთვის აშკარა არ არის. დატვირთულ საიტს შეუძლია კავშირების ცხრილი აავსოს, სამუშაო სლოტები ამოწუროს ან დისკის რიგი იმდენად ძლიერად დაძაბოს, რომ VPN-ის ჟურნალირება შეწყდეს. აკვირდით გამოყენებას სერვისების მიხედვით და არა ჰოსტის ჯამებს, რადგან საშუალო მალავს, რომელი პროცესი შიმშილობს. თუ ერთი დატვირთვა განმეორებით უშლის ხელს მეორეს, გამოყავით ისინი სიმპტომის გარშემო რეგულირების ნაცვლად.

გამოყოფა შეიძლება იყოს კონტეინერი, cgroup შეზღუდვა, ცალკე რიგი ან მეორე ჰოსტი და სწორი არჩევანი დამოკიდებულია იმაზე, რომელი რესურსი ეჯიბრება. პორტის შეცვლა აქ არაფერს ასწორებს და უფრო დიდი ინსტანსი არაფერს ასწორებს, თუ ზღვარი ერთი გაჯერებული რიგია. გადაწყვიტეთ გაზომვით: დაასახელეთ რესურსი, დატვირთეთ ის და შემდეგ აირჩიეთ უმცირესი გამოყოფა, რომელიც კონკურენციას აშორებს.

შეამოწმეთ გარედან, შემდეგ კვლავ გადატვირთვის შემდეგ

გამოსცადეთ მოწყობილობიდან, რომელიც ჰოსტის საკუთარ ქსელში არ არის: ჩატვირთეთ საიტი, ასწიეთ გვირაბი და მიაღწიეთ ერთ რესურსს, რომელიც მას მოითხოვს. შემდეგ გადატვირთეთ თითოეული სერვისი ცალკე და გაიმეორეთ მეორე ტესტი, რადგან გადატვირთვა ის მომენტია, როცა საერთო მსმენელის წყობა კარგავს თავის რიგს. თუ VPN იწყება მანამდე, ვიდრე ვებ სერვერი, რომელიც ფლობს საერთო პორტს, გაზიარების მექანიზმი შეიძლება არასოდეს მიმაგრდეს და სიმპტომი არის გვირაბი, რომელიც გუშინ მუშაობდა. დამოკიდებულება გამოაცხადეთ ერთეულების რიგში.

შემდეგ დაადასტურეთ საზღვრები: საიტი პასუხობს თავის პორტზე, VPN — თავისზე, ხოლო ადმინისტრაციული ინტერფეისი პასუხობს მხოლოდ მართვის გზიდან. ჩაწერეთ შედეგი მსმენელთა ცხრილის გვერდით თარიღთან ერთად. ჰოსტი, რომელიც გადატვირთვის შემდეგ სამივე შემოწმებას გადის, არის ჰოსტი, რომელიც შეგიძლიათ სხვას გადასცეთ ბრიფინგის გარეშე.