Коомдук прокси VPN аркылуу жеке булакка кантип жетет

Сайтты туннел аркылуу жарыялоо жана колдонуучуларга VPN кирүү мүмкүнчүлүгүн берүү — бир кабелди бөлүшкөн эки башка жайгаштыруу. Биринчисинде коомдук кайтарыма прокси келүүчүнүн сурамын кабыл алып, аны туннел аркылуу эч ким түз жете албаган булакка жөнөтөт. Экинчисинде колдонуучу колдонмо такыр жеткиликтүү боло электе VPNге кошулушу керек. Бул эки сүрөттөмөнү аралаштыруу — жеке backend акырында коомдук түрдө ачылып калышынын жолу.

Диаграммада окшош көрүнгөн эки модель

Бир нерсени тандаардан мурун жебелерди тартыңыз. Коомдук жарыялоо модели браузерден проксиге HTTPS аркылуу, анан проксиден булакка туннел аркылуу өтөт, ал эми булак интернеттен байланышты эч качан кабыл албайт. Тек VPN модели кардардан шлюзга өтөт, ал эми колдонмо ошол жолдун ичинен гана жеткиликтүү. Колдонуучунун ноутбугу колдонмо менен бир тармакта отурат, жана бул ошол моделдин бүт мааниси.

Моделдер ким аутентификация кылаары жана кайда кылаары менен айырмаланат. Биринчисинде прокси — коомдук кире бериш жана ал келген ар кандай сурамды, анын ичинде душмандык сурамды да, анда конфигурацияланган саясатка ылайык өткөрүп берет. Экинчисинде жеткиликтүүлүктүн өзү капка, бул одоно болсо да чыныгы кабыл алуу.

TLS кайда токтойт жана ал чындыгында эмнени далилдейт

Браузер менен проксинин ортосундагы TLS ошол секириктен коргойт жана браузерге барууну көздөгөн сайтты текшерүүгө мүмкүндүк берет. Эгер прокси TLSди токтотсо, сурам жөнөтүлүүдөн мурун ошол процесстин ичинде окула турган формада болот. Булакка экинчи TLS сессиясы кийинки секирикти коргоп, колдонмонун четки чекитин өзүнчө текшере алат. Эки сессиянын экөө тең эмне адам колдонмону пайдалана аларын чечпейт. Проксидеги wildcard сертификаты да ошол экинчи секирикке тарабайт.

Бул — адамдар шифрленген деген сөзгө жыйнактоочу бөлүк. Купуялуулук, бүтүндүк жана сервердин инсандыгы — ташуу касиеттери; авторизация — колдонмонун чечими. Туннелдин артындагы жеке дарек ким сокетке жете аларын өзгөртөт, ал эми жеткенден кийин ким кире аларын эмес.

Жөнөтүлгөн аталыштарга проксиден гана ишениңиз

Кардар дареги боюнча журнал жүргүзгөн же авторизация кылган колдонмолор адатта прокси кошкон аталышты окушат. Ал аталыш — жөнөкөй текст, ошондуктан булакка түз жете алган нерсенин баары каалаган даректи талап кыла алат. Булакты проксинин туннел дареги гана туташа ала тургандай чектеңиз, жана колдонмону аталышты ушул даректен гана кабыл ала тургандай конфигурациялаңыз.

curl -s -o /dev/null -w '%{http_code}
' -H 'X-Forwarded-For: 203.0.113.9' http://172.20.5.40/

Эгер бул сурам прокси болуп эсептелбеген хосттон ийгиликтүү өтсө, булак этибарга албашы керек болгон аталышка ишенет. Колдонмого тийүүдөн мурун угуучуну оңдоңуз. Баш тартуу — жасалма даректи алып жүргөн журнал сабынан алда канча жакшы жыйынтык.

Булакты так бир жерден жеткиликтүү кармаңыз

Булактын угуучусун туннел дарегине байлаңыз же аны проксиге карай файрвол менен курчаңыз, анан чындыгында эмне угуп жатканын ырастаңыз. Wildcard байланыш менен башталган кызмат хосттогу ар бир интерфейсте байланышты кабыл алат, анын ичинде маршрутталарын унутуп калган интерфейсте да. Угуу таблицасы — негизги чындык, сиз колдонгонго аракет кылган конфигурация файлы эмес. Эгер wildcard байланыш атайын болсо, аны куушурган компонент дагы эле файрвол болушу керек.

ss -ltnp | grep -E ':(80|443)'

Башкаруу интерфейстери үчүн да ушундай кароону жасаңыз, кокустан ачылуу адатта ошол жерде болот. Анан эки моделди өзүнчө жазыңыз: прокси аркылуу коомдук сайт жана туннел аркылуу гана жеткиликтүү административдик интерфейс. Сервер VPNдин артында деген сүйлөм алардын эч бирин айтпайт.