VPN сервери үчүн булут firewall жана хост firewall

Булут саясатында VPN портун уруксат кылсаңыз да, кол кармашуу инстанцияда өлүп калышы мүмкүн: конок өзүнүн чыпкасын жана өзүнүн угуучу байланышын иштетет, жана экөө тең булут уруксат кылган нерсени ыргытышы мүмкүн. Тескерисинче да болот: хост эрежеси портко уруксат берет, бирок жогору турган саясат аны биринчи ыргытат. Эки ээ, эки эреже топтому, бир пакет жолу. Аны эң шектүү катмарда божомолдоонун ордуна тартиби менен басып өтүңүз.

Четинен баштап ичке карай жүрүңүз

Тартип бекитилген: коомдук акыркы чекит, ресурстун интерфейси, тиркелген булут саясаты, коноктун дареги, процесстин угуучусу, жергиликтүү кирүү эрежелери. Ар бир баскыч пакетти өткөрөт же иликтөөнү бүтүрөт, ошондуктан коноктон баштоо эң көп убакытты тек кетирет.

Кайра багытталган кардар трафиги өзүнчө баскыч болуп, туннелдин капсуласы ачылгандан кийин текшерилет. Булут катмары тышкы туннелди гана көрөт, ошондуктан ал байланышты уруксат кылса да ички кызмат сурамына эч кандай тиешеси болбошу мүмкүн. Туташкан, бирок ички хостко жетпеген туннел адатта жабык портту эмес, кайра багыттоону көрсөтөт.

Конокко тийүүдөн мурун булут саясатын окуңуз

VPN портунун кирүү эрежесин, анын протоколун жана сынак кардарыңызга туура келген булак алкагын ырастаңыз. Ички тармактын кирүүнү көзөмөлдөө тизмесин да текшериңиз: өз эрежелери жана демейки маанилери бар экинчи чыпка. Пакет инстанцияга жеткенге чейин экөө тең агымга уруксат бериши керек. Бирөөндө уруксат, экинчисинде баш тартуу бул катанын кадимки түрү.

Алкакты мааниси бар болгонго чейин куушуртуңуз. VPN портун бүт интернетке ачууну далилдөө оңой, коргоо кыйын, ал эми бир дарекке бекитилген эреже сынак кардарыңыз тармакты алмаштырганда бузулат. Эреженин идентификаторун жана саясаттын ээсин жазып алыңыз, кийинки өзгөртүү адамга чейин изилденсин.

Угуучуну, андан кийин кирүү чынжырын ырастаңыз

Инстанцияда VPN процесси күткөн дарегиңиз жана портуңуз менен байланганын текшериңиз, мисалы ss -lntp 'sport = :1194' аркылуу. 127.0.0.1 ге гана байланган демон жергиликтүү кардарларды кабыл алат жана туннел аркылуу эч нерсе кабыл албайт, бул тыштан так чыпкаланган портко окшош көрүнөт.

Андан кийин жергиликтүү эрежелерди аларды өзгөртүү үчүн колдоно турган синтаксисте окуңуз, мисалы iptables -S INPUT же nft list chain inet filter input. Файлга жазылган, бирок эч качан жүктөлбөгөн эреже, же туура келген уруксаты жок демейки таштоо пакеттерди үнсүз таштайт. Кайра багыттоочу шлюз үчүн кайра багыттоо жана кайтарым жол жөндөөлөрүн да текшериңиз. Инстанцияга арналбаган, бирок анын аркылуу маршрутталган пакеттерге эмне болорун ошолор чечет.

Бир катмарда абал менен, кийинкисинде абалсыз

Коопсуздук топтору уруксат берген агымдарды эстеп калат жана жоопторду кайра киргизет. Ички тармактардын кирүүнү көзөмөлдөө тизмелери жана көптөгөн хост firewall-дери мындай абалды сактабайт, ошондуктан чыгуу багытын гана камтыган эреже сурамды өткөрүп, жоопту таштайт. Катмарлар ортосунда кайтарым трафик жөнүндө божомолду экинчи катмардын эрежесин окубастан эч качан алып жүрбөңүз (second layer's rule).

Эсептеги ар бир эрежени окугандан көрө эсептегичтер муну тезирээк чечет. Өсүп жаткан эсептегич пакет ошол жерге жетип, ошол жерде ташталганын билдирет, ал эми нөлдө тоңгон эсептегич анын ал жакка такыр жетпегенин билдирет; эрежелер эсептегичтер менен жүктөлсө, iptables -vnL INPUT жана nft list ruleset ошол сандарды көрсөтөт.

Тирүү сессия менен эмес, жаңы сессия менен сынаңыз

Көрүнүштөрдү салыштырганда булак тармагын жана сынак профилин тийбей коюңуз, жана ар бир өзгөртүүдөн кийин жаңы байланыш ачыңыз. 443 боюнча веб-консолго жетүү VPN демонунун 1194 кө байланганын эч нерсе айтпайт, ошондуктан керектүү портуңузду сынаңыз. Бар сессия бул жерде эң жаман күбө. Ар бир жаңы кирүү четке кагылып жатканда да ал иштей берет.

Алыскы саясатты оңдоодон мурун өзгөртүп жаткан жолуңузга көз каранды эмес кайтуу жолун камсыздаңыз. Андан кийин VPN сынагынын жанында экинчи административдик сессия ачыңыз: мурун түзүлгөн сессия жаңыларын тоскон эрежеден узак жашашы мүмкүн. Эки саясаттын тең ээсин жазып алыңыз, эч кандай кайра куруу жолдун жарымын калыбына келтирбесин; эгер эки катмар тең макул болуп, туннел дагы эле иштебесе, коноктун интерфейсинде кармап алып, кардар чындыгында колдонгон дарек менен портту текшериңиз.