Apribokite VPN klausytoją tomis sąsajomis, kurias turėjote omenyje
Pakaitos simbolio klausytojas ir ugniasienės taisyklė yra skirtingos kontrolės priemonės. Perskaitykite tikruosius lizdus su ss, tada patikrinkite adresų šeimą ir ugniasienę.
VPN paslauga pasiekiama iš bet kur, kur jos lizdas yra susietas ir jos ugniasienė leidžia. Tai du atskiri sprendimai, ir žmonės paprastai priima tik vieną iš jų. Tikrojo klausytojo perskaitymas užtrunka dešimt sekundžių ir išsprendžia klausimą, kurio spėjimas negali išspręsti. Pradėkite nuo to, tada keiskite vieną kontrolę vienu metu.
Viskas toliau daro prielaidą, kad galite vykdyti komandas pagrindiniame kompiuteryje su root arba sudo.
Perskaitykite lizdus prieš ką nors keisdami
Linux sistemoje ss -lunp išvardija UDP klausytojus su jų vietiniu adresu, prievadu ir procesu, o ss -ltnp daro tą patį TCP atveju. Raskite VPN prievadą ir atidžiai perskaitykite adreso stulpelį. 0.0.0.0:51820 ir [::]:51820 reiškia visas sąsajas, o 10.0.0.5:51820 reiškia vieną adresą vienoje sąsajoje. Jei išvestis nepažįstama, ss vadove aprašyti stulpeliai. Jei trūksta proceso pavadinimo, paleiskite tą pačią komandą su sudo, nes savininko stulpeliui reikia privilegijų.
Užsirašykite adresą. Tai faktas, nuo kurio priklauso likusi šio vadovo dalis.
Siekite adreso, o ne noro
OpenVPN su savo local direktyva susieja klausytoją su konkrečiu adresu, ir tai yra palaikomas būdas apriboti jį proceso lygiu. Ne kiekviena įgyvendinimas siūlo atitikmenį, o protokolas be susiejimo parinkties negali būti taip susiaurintas. Jei jūsų neturi nė vienos, ugniasienė yra vienintelė jūsų kontrolė, ir diegimo pastabos turėtų tai aiškiai pasakyti. Pagrindiniame kompiuteryje su keliais adresais susiekite su tuo, kuris žiūri į tunelį; susieti su plaukiojančiu adresu paprastai yra klaida.
Paslaugai, kuri turi išgyventi adreso pasikeitimą, reikia pasenusio susiejimo plano, o ne tik konfigūracijos eilutės.
Patikrinkite adresų šeimą atskirai
IPv4 ir IPv6 yra atskiri lizdai. Procesas, susietas su 0.0.0.0, vis dar gali priimti IPv6 per dvigubo kamino lizdą arba ne, priklausomai nuo lizdo parinkties ir platformos numatytosios reikšmės. Skaitymas tik IPv4 eilutės yra apgavęs ne vieną diegimo apžvalgą. Išvardykite abi šeimas prieš darydami išvadą, kad klausytojas yra siauras.
Jei IPv6 nėra dizaino dalis, išjungti jį lizdo lygiu yra švariau nei tikėtis, kad ugniasienė jį padengs. Tai politikos sprendimas, todėl užrašykite jį kartu su kitais sąsajos pasirinkimais.
Sluoksniuokite ugniasienę ant susiejimo
Siauras susiejimas nepakeičia ugniasienės taisyklės, o ugniasienės taisyklė nesusiaurina pakaitos simbolio susiejimo. Naudokite abu: susiekite ten, kur įgyvendinimas tai palaiko, tada leiskite prievadą tik iš tų šaltinių, kurie turėtų jį pasiekti. Debesų saugos grupės yra prieš pagrindinio kompiuterio ugniasienę, todėl tikrinkite abi, kai kelias kerta VPC ribą. Veiksmingoji taisyklė yra abiejų sankirta, ir kiekvienas sluoksnis gali tik atimti pasiekiamumą.
Išbandykite iš leistino šaltinio ir iš tyčia pašalinto. Ryšys iš localhost nieko neįrodo apie viešąją ribą.
Užrašykite, ką pasirinkote
Užrašykite susietą adresą, jį valdančią sąsają, ugniasienės taisyklę ir jos paskirtį. Pakaitinė NIC arba perskirstytas debesų adresas gali pakeisti poveikį niekam neredaguojant profilio. Uždėkite data ant pastabos, nes debesų adresai tarp apžvalgų juda dažniau, nei žmonės tikisi.
Būtent ši pastaba paverčia kitą apžvalgą palyginimu, o ne archeologijos projektu.