VPN сервері үшін бұлттық firewall және хост firewall-і

Бұлттық саясатта VPN портына рұқсат беріңіз, бірақ қол алысу инстанцияда өліп қалуы мүмкін: қонақ өзінің сүзгісін және өзінің тыңдаушы байланысын іске қосады, ал екеуі де бұлт мақұлдаған нәрсені тастай алады. Керісінше де болады: хост ережесі портқа рұқсат береді, ал жоғарыдағы саясат оны бірінші тастайды. Екі ие, екі ереже жинағы, бір пакет жолы. Оны ең күдікті қабатта болжау орнына ретімен жүріп өтіңіз.

Шетінен бастап ішке қарай жүріңіз

Реті белгіленген: жария соңғы нүкте, ресурс интерфейсі, тіркелген бұлттық саясат, қонақ мекенжайы, процестің тыңдаушысы, жергілікті кіріс ережелері. Әр кезең пакетті өткізеді немесе тергеуді аяқтайды, сондықтан қонақтан бастау ең көп уақытты жоғалтады.

Қайта бағытталған клиент трафигі жеке кезең болып табылады және туннель капсуласыздандырылғаннан кейін тексеріледі. Бұлттық қабат тек сыртқы туннельді көреді, сондықтан ол қосылымды мақұлдап, сонымен бірге ішкі қызмет сұранысына ешқандай қатысы болмауы мүмкін. Қосылатын, бірақ ішкі хостқа жетпейтін туннель әдетте жабық портқа емес, қайта бағыттауға нұсқайды.

Қонаққа тиіспес бұрын бұлттық саясатты оқыңыз

VPN портының кіріс ережесін, оның протоколын және сынақ клиентіңізге сәйкес келетін көз ауқымын растаңыз. Ішкі желінің қатынасты бақылау тізімін де тексеріңіз: өз ережелері мен әдепкі мәндері бар екінші сүзгі. Пакет инстанцияға жетпес бұрын екеуі де ағынға рұқсат беруі керек. Бірінде рұқсат, екіншісінде бас тарту осы ақаудың әдеттегі түрі.

Ауқымды мағынасы бар болғанша тарылтыңыз. VPN портын бүкіл интернетке ашу дәлелдеуге оңай, қорғауға қиын, ал бір мекенжайға бекітілген ереже сынақ клиентіңіз желі ауыстырғанда бұзылады. Ереженің идентификаторы мен саясат иесін жазып алыңыз, келесі өзгеріс адамға дейін қадағаланатын болсын.

Тыңдаушыны, содан кейін кіріс тізбегін растаңыз

Инстанцияда VPN процесінің күткен мекенжайыңыз бен портыңызға байланғанын тексеріңіз, мысалы ss -lntp 'sport = :1194' арқылы. Тек 127.0.0.1-ге байланған демон жергілікті клиенттерді қабылдайды, туннель арқылы ештеңе қабылдамайды, бұл сырттан дәл сүзілген портқа ұқсайды.

Содан кейін жергілікті ережелерді оларды өзгерту үшін қолданатын синтаксисте оқыңыз, мысалы iptables -S INPUT немесе nft list chain inet filter input. Файлға жазылған, бірақ ешқашан жүктелмеген ереже немесе сәйкес рұқсаты жоқ әдепкі тастау пакеттерді үнсіз тастайды. Қайта бағыттайтын шлюз үшін қайта бағыттау және кері жол параметрлерін де тексеріңіз. Инстанцияға арналмаған, бірақ ол арқылы маршрутталатын пакеттерге не болатынын солар шешеді.

Бір қабатта күймен, келесісінде күйсіз

Қауіпсіздік топтары рұқсат еткен ағындарды есте сақтайды және жауаптарды кері жібереді. Ішкі желілердің қатынасты бақылау тізімдері мен көптеген хост firewall-дері мұндай күйді сақтамайды, сондықтан тек шығыс бағытын қамтитын ереже сұранысты өткізіп, жауапты тастайды. Қабаттар арасында қайтарым трафигі туралы болжамды екінші қабаттың ережесін оқымай-ақ ешқашан алып жүрмеңіз (second layer's rule).

Тіркелгідегі әр ережені оқуға қарағанда, есептегіштер мұны тезірек шешеді. Өсіп жатқан есептегіш пакеттің сол жерге жетіп, сонда тасталғанын білдіреді, ал нөлде қатқан есептегіш оның ол жаққа мүлдем жетпегенін білдіреді; ережелер есептегіштермен жүктелгенде iptables -vnL INPUT пен nft list ruleset сол сандарды көрсетеді.

Тірі сессиямен емес, жаңа сессиямен сынаңыз

Көріністерді салыстырған кезде бастапқы желі мен сынақ профилін тимеңіз және әр өзгерістен кейін жаңа қосылым ашыңыз. 443-те веб-консольге жету VPN демонының 1194-ке байланғанын білдірмейді, сондықтан қажет портыңызды сынаңыз. Бар сессия мұнда ең нашар куәгер. Ол әрбір жаңа кіру қабылданбай жатқанда да жұмысын жалғастырады.

Қашықтағы саясатты өңдеуден бұрын өзгертетін жолыңызға тәуелді емес қайту жолын қамтамасыз етіңіз. Содан кейін VPN сынағымен қатар екінші әкімшілік сессия ашыңыз: бұрын орнатылған сессия жаңаларын бөгетейтін ережеден ұзақ өмір сүруі мүмкін. Екі саясаттың да иесін жазып алыңыз, ешбір қайта құру жолдың жартысын қалпына келтірмесін; егер екі қабат та келіссе, ал туннель әлі де істемесе, қонақ интерфейсінде ұстап алып, клиент шынымен қолданатын мекенжай мен портты тексеріңіз.