Beschränkt e VPN-Listener op d'Interfaces, déi Dir gemengt hutt

En VPN-Service ass erreechbar vun iwwerall, wou säi Socket gebonnen ass a seng Firewall et erlaabt. Dat sinn zwou getrennt Entscheidungen, a Leit huelen normalerweis nëmmen eng dovun. Den tatsächleche Listener ze liesen dauert zéng Sekonnen a klärt eng Fro, déi Rating net ka klären. Fänkt do un, an ännert dann eng Kontroll op eemol.

Alles hei drënner setzt viraus, datt Dir Kommandoen um Host mat root oder sudo ausféiere kënnt.

Liest d'Sockets ier Dir eppes ännert

Op Linux listet ss -lunp UDP-Listener mat hirer lokaler Adress, hirem Port an hirem Prozess op, an ss -ltnp mécht dat selwecht fir TCP. Sicht de Port vum VPN a liest d'Adresskolonn suergfälteg. 0.0.0.0:51820 an [::]:51820 bedeiten all Interface, während 10.0.0.5:51820 eng Adress op engem Interface bedeit. D'ss-Handbuch dokumentéiert d'Kolonnen, wann d'Ausgab onbekannt ass. Wann den Numm vum Prozess feelt, fuert dee selwechte Kommando mat sudo aus, well d'Eigentümerkolonn Privilegien brauch.

Schreift d'Adress op. Et ass de Fakt, vun deem de Rescht vun dësem Guide ofhänkt.

Bind un eng Adress, net un e Wonsch

OpenVPN bindt de Listener mat senger local-Direktiv un eng spezifesch Adress, an dat ass dee ënnerstëtzte Wee, en op Prozessniveau anzegrenzen. Net all Implementatioun bitt en Äquivalent, an e Protokoll ouni Bindoptioun kann net sou ageschnéiert ginn. Wann Ären keen huet, ass d'Firewall Är eenzeg Kontroll, an d'Deployment-Notizen sollten dat kloer soen. Op engem Host mat verschiddenen Adressen, bind un déi, déi op den Tunnel weist; un eng Adress ze bannen, déi schwëmmt, ass normalerweis e Feeler.

En Service, deen en Adresswiessel muss iwwerstoen, brauch e Plang fir déi al Bind, net just eng Konfiguratiounszeil.

Kontrolléiert d'Adressfamill getrennt

IPv4 an IPv6 sinn getrennt Sockets. E Prozess, deen un 0.0.0.0 gebonnen ass, kann nach ëmmer IPv6 iwwer en Dual-Stack-Socket unhuelen, oder och net, jee no Socketoptioun an der Plattform hirer Standardastellung. Nëmmen d'IPv4-Zeil ze liesen huet méi wéi eng Deployment-Revue täuscht. Lëscht béid Familljen op, ier Dir zum Schluss kommt, datt de Listener schmuel ass.

Wann IPv6 net Deel vum Design ass, ass et méi propper, en um Socketniveau auszeschalten, wéi ze hoffen, datt d'Firewall en deckt. Dat ass eng Politikentscheedung, also notéiert se zesumme mat de Rescht vun den Interface-Wahlen.

Layer d'Firewall iwwer d'Bind

Eng schmuel Bind ersetzt keng Firewall-Reeg, an eng Firewall-Reeg mécht eng Wildcard-Bind net schmuel. Benotzt béid: bind wou d'Implementatioun et ënnerstëtzt, an erlaabt dann de Port nëmmen aus de Quelle, déi en erreechen sollten. Cloud-Sécherheetsgruppe stinn virun der Firewall vum Host, also kontrolléiert béid, wann de Wee eng VPC-Grenz iwwerquiert. D'effektiv Reeg ass d'Schnëttfläch vun deenen zwee, an all Schicht kann nëmmen Erreechbarkeet ofzéien.

Test aus enger erlaabter Quell an aus enger bewosst ausgeschlossener. Eng Verbindung vun localhost beweist näischt iwwer déi ëffentlech Grenz.

Notéiert, wat Dir gewielt hutt

Schreift d'gebonnen Adress op, d'Interface déi se huet, d'Firewall-Reeg an hire Zweck. En Ersatz-NIC oder eng nei zougewisen Cloud-Adress kann d'Expositioun änneren, ouni datt een de Profil ännert. Datéiert d'Notiz, well Cloud-Adressen tëscht Revuen dacks méi beweegen, wéi d'Leit erwaarden.

Déi Notiz ass et, déi déi nächst Revue zu engem Verglach amplaz vun engem Archäologieprojet mécht.