Debesų ugniasienė prieš pagrindinio kompiuterio ugniasienę VPN serveriui

Leiskite VPN prievadą debesų politikoje, o rankos paspaudimas vis tiek gali žūti instancijoje: svečias paleidžia savo filtrą ir savo klausytojo susiejimą, ir bet kuris iš jų gali išmesti tai, ką debesis patvirtino. Būna ir atvirkščiai, kai pagrindinio kompiuterio taisyklė leidžia prievadą, o aukščiau esanti politika jį išmeta pirmoji. Du savininkai, du taisyklių rinkiniai, vienas paketo kelias. Pereikite jį iš eilės, o ne spėliodami labiausiai įtartiname sluoksnyje.

Pradėkite nuo krašto ir eikite į vidų

Tvarka fiksuota: viešasis galinis taškas, ištekliaus sąsaja, prijungta debesų politika, svečio adresas, proceso klausytojas, vietinės įvesties taisyklės. Kiekvienas etapas arba praleidžia paketą, arba baigia tyrimą, todėl pradėjus nuo svečio prarandama daugiausia laiko.

Persiųstas kliento srautas yra atskiras etapas, tikrinamas po tunelio dekapsuliavimo. Debesų sluoksnis mato tik išorinį tunelį, todėl jis gali patvirtinti ryšį ir vis dėlto neturėti nieko bendra su vidinės paslaugos užklausa. Tunelis, kuris prisijungia, bet nepasiekia vidinio kompiuterio, paprastai rodo persiuntimą, o ne uždarytą prievadą.

Perskaitykite debesų politiką prieš liesdami svečią

Patvirtinkite VPN prievado įvesties taisyklę, jos protokolą ir šaltinio apimtį, atitinkančią jūsų bandomąjį klientą. Patikrinkite ir potinklio prieigos kontrolės sąrašą: antras filtras su savo taisyklėmis ir numatytosiomis reikšmėmis. Abu turi leisti srautą, kol paketas pasieks instanciją. Leidimas viename ir atmetimas kitame yra įprasta šios klaidos forma.

Susiaurinkite apimtį, kol ji ką nors reikš. Atidaryti VPN prievadą visam internetui lengva įrodyti ir sunku apginti, o taisyklė, prisegta prie vieno adreso, lūžta, kai jūsų bandomasis klientas keičia tinklą. Užsirašykite taisyklės identifikatorių ir politikos savininką, kad kitas pakeitimas būtų atsekamas iki žmogaus.

Patvirtinkite klausytoją, tada įvesties grandinę

Instancijoje patikrinkite, ar VPN procesas susietas su adresu ir prievadu, kurių tikitės, pavyzdžiui, su ss -lntp 'sport = :1194'. Demonas, susietas tik su 127.0.0.1, priima vietinius klientus ir nieko per tunelį, o iš išorės tai atrodo lygiai kaip filtruojamas prievadas.

Tada skaitykite vietines taisykles tokia sintakse, kokią naudotumėte joms keisti, pavyzdžiui, iptables -S INPUT arba nft list chain inet filter input. Taisyklė, įrašyta į failą, bet niekada neužkrauta, arba numatytasis numetimas be atitinkamo leidimo, paketus numeta tyliai. Persiunčiančiam tinklų sietuvui patikrinkite ir persiuntimo bei atgalinio kelio nuostatas. Jos nusprendžia, kas nutinka paketams, nukreiptiems per instanciją, o ne adresuotiems jai.

Su būsena viename sluoksnyje, be būsenos kitame

Saugos grupės atsimena srautus, kuriuos leido, ir įleidžia atsakymus atgal. Potinklių prieigos kontrolės sąrašai ir daugelis pagrindinio kompiuterio ugniasienių tokios būsenos nelaiko, todėl taisyklė, apimanti tik išėjimo kryptį, praleidžia užklausą ir numeta atsakymą. Niekada neperkelkite prielaidos apie grįžtamąjį srautą tarp sluoksnių neperskaitę antrojo sluoksnio taisyklės (second layer's rule).

Skaitikliai tai išsprendžia greičiau nei skaitant kiekvieną paskyros taisyklę. Augantis skaitiklis reiškia, kad paketas ten atvyko ir buvo numestas, o sustingęs ties nuliu reiškia, kad jis ten niekada nenukeliavo; iptables -vnL INPUT ir nft list ruleset rodo tuos skaičius, kai taisyklės buvo užkrautos su skaitikliais.

Testuokite nauja sesija, o ne gyva

Palikite šaltinio tinklą ir bandymo profilį nepakeistus, kol lyginate vaizdus, ir po kiekvieno pakeitimo atidarykite naują ryšį. Pasiekti žiniatinklio konsolę 443 prievade nieko nesako apie tai, ar VPN demonas susietas su 1194, todėl testuokite reikalingą prievadą. Esama sesija čia yra prasčiausias liudytojas. Ji veikia toliau, kol kiekvienas naujas prisijungimas atmetamas.

Prieš redaguodami nuotolinę politiką, užsitikrinkite grįžimo kelią, kuris nepriklauso nuo keičiamo kelio. Tada atidarykite antrą administravimo sesiją šalia VPN bandymo: anksčiau sukurta sesija gali pergyventi taisyklę, blokuojančią naujas. Užsirašykite abiejų politikų savininkus, kad joks perstatymas neatkurtų pusės kelio; jei abu sluoksniai sutinka, o tunelis vis tiek nepavyksta, fiksuokite svečio sąsajoje ir patikrinkite adresą bei prievadą, kuriuos klientas iš tikrųjų naudoja.