VPN угуучусун ниет кылган интерфейстер менен чектеңиз
Wildcard угуучу жана firewall эрежеси эки башка башкаруу. ss менен чыныгы socket-терди окуп, анан даректер үй-бүлөсүн жана firewall-ды текшериңиз.
VPN кызматы анын socket-и байланган жана firewall уруксат берген жердин бардыгынан жеткиликтүү. Бул эки өзүнчө чечим, жана адамдар адатта алардын бирин гана кабыл алышат. Чыныгы угуучуну окуу он секунд алат жана божомол чече албаган суроону чечет. Ошондон баштаңыз, анан бир убакта бир башкарууну өзгөртүңүз.
Төмөнкүнүн баары сиз host-то root же sudo менен буйруктарды иштете аласыз деп эсептейт.
Бир нерсени өзгөртүүдөн мурун socket-терди окуңуз
Linux-та ss -lunp UDP угуучуларды жергиликтүү дареги, порту жана процесси менен тизмелейт, ал эми ss -ltnp TCP үчүн ушундай эле кылат. VPN портун таап, дарек мамычасын кылдат окуңуз. 0.0.0.0:51820 жана [::]:51820 бардык интерфейсти билдирет, ал эми 10.0.0.5:51820 бир интерфейстеги бир даректи билдирет. Чыгарылыш тааныш болбосо, ss колдонмосу мамычаларды документтештирет. Процесстин аты жок болсо, ошол эле буйрукту sudo менен иштетиңиз, анткени ээси мамычасы артыкчылыкты талап кылат.
Даректи жазып алыңыз. Бул ушул колдонмонун калган бөлүгү көз каранды болгон факт.
Каалоого эмес, дарекке байлаңыз
OpenVPN өзүнүн local директивасы менен угуучуну белгилүү бир дарекке байлайт, жана бул аны процесс деңгээлинде чектөөнүн колдоого алынган жолу. Ар бир ишке ашыруу барабардык сунуштабайт, жана байлоо опциясы жок протоколду бул жол менен тар кылуу мүмкүн эмес. Эгер сиздикинде жок болсо, firewall сиздин жалгыз башкарууңуз, жана жайгаштыруу жазуулары муну ачык айтышы керек. Бир нече дареги бар host-то туннелге караган дарекке байлаңыз; калкыма дарекке байлоо адатта ката.
Дарек өзгөрүүсүнөн өтүшү керек кызматка эскирген байлоо үчүн план керек, жалаң конфигурация сабы эмес.
Даректер үй-бүлөсүн өзүнчө текшериңиз
IPv4 жана IPv6 өзүнчө socket-тер. 0.0.0.0-га байланган процесс эки кабаттуу socket аркылуу дагы эле IPv6 кабыл алышы мүмкүн, же албашы мүмкүн, бул socket опциясына жана платформанын демейки маанисине жараша. Тек IPv4 сабын окуу бирден ашык жайгаштыруу кароосун алдаган. Угуучу тар деген жыйынтыкка келүүдөн мурун эки үй-бүлөнү тең тизмелеңиз.
Эгер IPv6 дизайндын бөлүгү болбосо, аны socket деңгээлинде өчүрүү firewall жабат деп үмүт кылгандан тазараак. Бул саясат чечими, ошондуктан аны интерфейс тандоолорунун калганы менен бирге жазыңыз.
Firewall-ды байлоонун үстүнө катмарлаңыз
Тар байлоо firewall эрежесин алмаштырбайт, жана firewall эрежеси wildcard байлоону тар кылбайт. Экөөнү тең колдонуңуз: ишке ашыруу колдогон жерде байлаңыз, анан портко ага жетүүгө тийиш булактардан гана уруксат бериңиз. Булут коопсуздук топтору host firewall-ынын алдында турат, ошондуктан жол VPC чек арасынан өткөндө экөөнү тең текшериңиз. Натыйжалуу эреже — экөөнүн кесилиши, жана ар бир катмар жеткиликтүүлүктү гана азайта алат.
Уруксат берилген булактан жана атайын четтетилген булактан сынаңыз. localhost-тон байланыш коомдук чек ара жөнүндө эч нерсени далилдебейт.
Эмнени тандаганыңызды жазыңыз
Байланган даректи, ага ээ болгон интерфейсти, firewall эрежесин жана анын максатын жазыңыз. Алмаштырылган NIC же кайра дайындалган булут дареги профилди эч ким оңдобостон таасирди өзгөртүшү мүмкүн. Жазууга күн коюңуз, анткени булут даректери кароолордун ортосунда адамдар күткөндөн көп жылышат.
Ушул жазуу кийинки кароону археологиялык долбоор эмес, салыштырууга айландырат.