VPN мен сайтты бір хостта қақтығыссыз іске қосу

Бір хостты ашық сайт пен VPN арасында бөлсеңіз, бір емес, екі сұрақты мұраға аласыз: не қайда тыңдайды және кім кімді аутентификациялайды. Конфигурация файлына тимес бұрын екеуіне де жауап беріңіз, өйткені әдепкі мәндер тек жүктеме кезінде көрінетін түрде қате. HTTPS арқылы жүктелетін бет веб тыңдаушының жауап беретінін дәлелдейді және әріптес тыңдаушы туралы ештеңе айтпайды. Келесісі — екеуінің бірін-бірі жеп қоюына жол бермейтін шешімдер тәртібі.

Қай мекенжай мен тасымалдауда ненің тыңдайтынын шешіңіз

Үш бағаналы кесте жазыңыз: мекенжай, тасымалдау және порт, және әр қызмет үшін бір жол, оның ішінде әкімшілік интерфейс. Сайт үшін TCP 443 және VPN үшін UDP 443 сандар сәйкес келсе де қақтығыс емес, өйткені тасымалдау әртүрлі. Бір мекенжайда, тасымалдауда және портта екі қызмет іске асыру құжаттайтын келісімді қажет етеді, апат кезінде ойлап тапқаныңызды емес. Сол кесте келесі өзгерісті тексеруге болатын ететін артефакт та болып табылады.

Бөлек мекенжайлар немесе екінші порт пакет түсірілімінде меншікті көрінетін етеді және бұл әсемдіктен қымбат. Кейбір VPN іске асырулары портты веб-сервермен бөлісуді қолдайды, бірақ механизм нақты: демон алғашқы байттарды тексереді және өз протоколына жатпайтын трафикті жібереді. Жалпы HTTP кері прокси мұны жасамайды, ал тақырыпшаларды қайта жазу оны шифрланған туннельдің қол алысуын түсінетін етпейді. Протоколдың орналастыру жазбаларын оқыңыз, мысалы OpenVPN тыңдаушысының құжаттамасы, және ол сипаттайтын келісімді ұстаныңыз.

Қай сәйкестік қай қызметке тиесілі екенін шешіңіз

Браузер сертификаты мен VPN әріптесінің куәлігі — әртүрлі сенім үлгілері бар әртүрлі нысандар. Веб сертификатты ашық орган тексереді және хост атын көрсетеді, ал әріптес куәлігі құрылғыны немесе пайдаланушыны концентраторға аутентификациялайды және өзіндік қол қойылған немесе ішкі түрде берілген болуы мүмкін. Біреуін екіншісі ретінде қайта пайдалану тар жағдайларда жұмыс істейді және бұл байланысқа сирек тұрарлық. Ортақ сертификат сәйкес келуі үшін тексеруді өшіру — бөлу жоспары емес; ол куәлікке мағына берген тексеруді алып тастайды.

Екі қойманы тәуелсіз ұстаңыз және қай орган қайсысын береді деп жазыңыз. Біреуі айналдырылғанда, екіншісі өзгерісті қажет етпеуі керек, ал егер қажет болса, байланысты түзету керек.

Әкімшілендіру қайда тұратынын шешіңіз

VPN-нің әкімшілік интерфейсі басқару жолында болуы керек, ешқашан ашық тыңдаушыда емес, тіпті хост интернетке қызмет етіп тұрса да. 443-тегі веб-сервер әріптес консолінің кез келген жерден қолжетімді болуы керек дегенді білдірмейді, ал консоль әдетте құндырақ нысан болып табылады. Оны loopback немесе басқару мекенжайына байлаңыз, көз бойынша шектеңіз және туннельдің қосулы болуына тәуелді емес қалпына келтіру жолын ұстаңыз. Қалпына келтіру жолы маңызды, өйткені жиі кездесетін ақау — құлыпты жөндеп жатқанда өзіңізді сыртта құлыптап қою.

Тар фаервол ережелерін жазыңыз, әр тыңдаушыға бір, және платформа қолдайтын жерде интерфейсті немесе қызмет тіркелгісін атаңыз. Сайтқа 443 қажет болғандықтан хостты ашатын кең ережелер — әкімшілік интерфейстердің сканер индекстеріне түсу жолы.

Қызмет қосылған сайын сол ережелерді тыңдаушылар кестесімен салыстырып қарап шығыңыз. Қарап шығу арзан және ол біреудің түнгі екіде қосқан ережесін ұстайды.

Екеуі бәсекелескенде не істеу керектігін шешіңіз

Хостты бөлісу — процессорды, жадыны, файл дескрипторларын және өткізу қабілетін бөлісу, ал даулы ресурс әрдайым айқын бола бермейді. Жүктелген сайт қосылымдар кестесін толтыруы, жұмыс ұяшықтарын таусылуы немесе дискі кезегін VPN журналдауы тоқтайтындай қатты итеруі мүмкін. Хосттың жалпы сандарының орнына қызмет бойынша пайдалануды қараңыз, өйткені орташа мән қай процестің аштықта жатқанын жасырады. Егер бір жүктеме екіншісіне қайта-қайта кедергі келтірсе, симптомның айналасында реттеудің орнына оларды оқшаулаңыз.

Оқшаулау контейнер, cgroup шектеуі, бөлек кезек немесе екінші хост болуы мүмкін, ал дұрыс таңдау қай ресурс бәсекелесіп жатқанына байланысты. Портты өзгерту мұнда ештеңені түзетпейді, ал шектеу бір қаныққан кезек болса, үлкенірек дана да ештеңені түзетпейді. Өлшеумен шешіңіз: ресурсты атаңыз, оны жүктеңіз, содан кейін бәсекені жоятын ең кіші оқшаулауды таңдаңыз.

Сырттан тексеріңіз, содан кейін қайта іске қосқаннан кейін тағы

Хосттың өз желісінде емес құрылғыдан тексеріңіз: сайтты жүктеңіз, туннельді көтеріңіз және оны қажет ететін бір ресурсқа жетіңіз. Содан кейін әр қызметті жеке қайта іске қосыңыз және екінші тестті қайталаңыз, өйткені қайта іске қосу — ортақ тыңдаушы келісімі тәртібін жоғалтатын сәт. Егер VPN ортақ портқа ие веб-серверден бұрын іске қосылса, бөлісу механизмі ешқашан қосылмауы мүмкін, ал симптом — кеше жұмыс істеген туннель. Тәуелділікті бірліктер тәртібінде айқын етіңіз.

Содан кейін шекараларды растаңыз: сайт өз портында жауап береді, VPN өз портында жауап береді, ал әкімшілік интерфейс тек басқару жолынан жауап береді. Нәтижені күнмен бірге тыңдаушылар кестесінің қасына жазыңыз. Қайта іске қосқаннан кейін үш тексерудің бәрінен өтетін хост — ешқандай нұсқаулықсыз басқаға тапсыруға болатын хост.