VPN тыңдаушысын көздеген интерфейстермен шектеңіз
Wildcard тыңдаушы мен firewall ережесі — екі бөлек басқару. Нақты socket-терді ss арқылы оқып, содан кейін мекенжайлар отбасын және firewall-ды тексеріңіз.
VPN қызметі оның socket-і байланған және firewall рұқсат еткен кез келген жерден қолжетімді. Бұл екі бөлек шешім, және адамдар әдетте олардың тек біреуін қабылдайды. Нақты тыңдаушыны оқу он секунд алады және болжам шеше алмайтын сұрақты шешеді. Содан бастаңыз, содан кейін бір уақытта бір басқаруды өзгертіңіз.
Төмендегінің барлығы сіз host-та root немесе sudo арқылы командаларды іске қоса аласыз деп есептейді.
Бірдеңені өзгертуден бұрын socket-терді оқыңыз
Linux-та ss -lunp UDP тыңдаушыларын жергілікті мекенжайымен, портымен және процесімен тізімдейді, ал ss -ltnp TCP үшін дәл солай істейді. VPN портын тауып, мекенжай бағанын мұқият оқыңыз. 0.0.0.0:51820 және [::]:51820 барлық интерфейсті білдіреді, ал 10.0.0.5:51820 бір интерфейстегі бір мекенжайды білдіреді. Шығыс таныс болмаса, ss нұсқаулығы бағандарды құжаттайды. Процесс атауы жоқ болса, сол команданы sudo-мен іске қосыңыз, өйткені иесі бағаны артықшылықты қажет етеді.
Мекенжайды жазып алыңыз. Бұл осы нұсқаулықтың қалған бөлігі тәуелді факт.
Тілекке емес, мекенжайға байланыстырыңыз
OpenVPN өзінің local директивасымен тыңдаушыны белгілі бір мекенжайға байланыстырады, және бұл оны процесс деңгейінде шектеудің қолдау көрсетілген жолы. Әрбір іске асыру балама ұсынбайды, ал байланыстыру опциясы жоқ протоколды бұлай тарылту мүмкін емес. Егер сіздікінде жоқ болса, firewall — сіздің жалғыз басқаруыңыз, және орналастыру жазбалары мұны анық айтуы керек. Бірнеше мекенжайы бар host-та туннельге қараған мекенжайға байланыстырыңыз; қалқымалы мекенжайға байланыстыру әдетте қате.
Мекенжай өзгерісін бастан өткеруі керек қызметке ескірген байланыстыру үшін жоспар қажет, тек конфигурация жолы емес.
Мекенжайлар отбасын бөлек тексеріңіз
IPv4 және IPv6 — бөлек socket-тер. 0.0.0.0-ға байланған процесс қос қабатты socket арқылы әлі де IPv6 қабылдауы мүмкін немесе қабылдамауы мүмкін, бұл socket опциясына және платформаның әдепкі мәніне байланысты. Тек IPv4 жолын оқу бірнеше орналастыру шолуын адастырды. Тыңдаушы тар деп қорытынды жасамас бұрын екі отбасын да тізімдеңіз.
Егер IPv6 дизайнның бөлігі болмаса, оны socket деңгейінде өшіру firewall жабады деп үміттенуден тазарақ. Бұл саясат шешімі, сондықтан оны интерфейс таңдауларының қалғанымен бірге жазып алыңыз.
Firewall-ды байланыстырудың үстіне қабаттаңыз
Тар байланыстыру firewall ережесін алмастырмайды, ал firewall ережесі wildcard байланыстыруды тарылтпайды. Екеуін де қолданыңыз: іске асыру қолдайтын жерде байланыстырыңыз, содан кейін портқа оған жетуі тиіс көздерден ғана рұқсат беріңіз. Бұлттық қауіпсіздік топтары host firewall-ының алдында тұрады, сондықтан жол VPC шекарасынан өткенде екеуін де тексеріңіз. Тиімді ереже — екеуінің қиылысы, және әр қабат тек қолжетімділікті азайта алады.
Рұқсат етілген көзден және әдейі алып тасталған көзден сынаңыз. localhost-тан қосылым қоғамдық шекара туралы ештеңе дәлелдемейді.
Не таңдағаныңызды жазыңыз
Байланған мекенжайды, оған ие интерфейсті, firewall ережесін және оның мақсатын жазыңыз. Ауыстырылған NIC немесе қайта тағайындалған бұлттық мекенжай профильді ешкім өңдемей-ақ әсерді өзгертуі мүмкін. Жазбаға күн қойыңыз, өйткені бұлттық мекенжайлар шолулар арасында адамдар күткеннен жиірек қозғалады.
Дәл осы жазба келесі шолуды археологиялық жоба емес, салыстыруға айналдырады.