VPN ir svetainės veikimas viename hoste be konfliktų

Kai dalijatės vieną hostą tarp viešos svetainės ir VPN, paveldite du klausimus, ne vieną: kas kur klausosi ir kas ką autentifikuoja. Atsakykite į abu prieš liesdami konfigūracijos failą, nes numatytosios reikšmės neteisingos taip, kad pasimato tik esant apkrovai. Puslapis, įkeliamas per HTTPS, įrodo, kad žiniatinklio klausytojas atsako, ir nieko apie partnerio klausytoją. Toliau pateikiama sprendimų tvarka, neleidžianti dviem vienas kito suvalgyti.

Nuspręskite, kas klausosi kokiu adresu ir transportu

Parašykite lentelę su trimis stulpeliais, adresas, transportas ir prievadas, ir viena eilute kiekvienai paslaugai, įskaitant administravimo sąsają. TCP 443 svetainei ir UDP 443 VPN nėra konfliktas, net kai skaičiai sutampa, nes transportas skiriasi. Dvi paslaugos tame pačiame adrese, transporte ir prievade reikalauja susitarimo, kurį dokumentuoja įgyvendinimas, o ne to, kurį sugalvojate gedimo metu. Ta lentelė taip pat yra artefaktas, leidžiantis peržiūrėti kitą pakeitimą.

Atskiri adresai arba antras prievadas padaro nuosavybę matomą paketų fiksavime, ir tai vertingiau už eleganciją. Kai kurie VPN įgyvendinimai palaiko prievado dalijimąsi su žiniatinklio serveriu, bet mechanizmas yra konkretus: demonas patikrina pirmuosius baitus ir persiunčia srautą, kuris nėra jo paties protokolas. Bendras HTTP atvirkštinis tarpinis serveris to nedaro, o antraščių perrašymas nepadės jam suprasti šifruoto tunelio rankos paspaudimo. Perskaitykite protokolo diegimo pastabas, pavyzdžiui, OpenVPN klausytojo dokumentaciją, ir vadovaukitės susitarimu, kurį ji aprašo.

Nuspręskite, kuri tapatybė priklauso kuriai paslaugai

Naršyklės sertifikatas ir VPN partnerio įgaliojimai yra skirtingi objektai su skirtingais pasitikėjimo modeliais. Žiniatinklio sertifikatą validuoja viešoji įstaiga ir jis nurodo hosto vardą, o partnerio įgaliojimai autentifikuoja įrenginį ar naudotoją koncentratoriuje ir gali būti pasirašyti pačių arba išduoti viduje. Vieno naudojimas kitu veikia siaurais atvejais ir retai verta tokio susiejimo. Patikros išjungimas, kad tiktu bendras sertifikatas, nėra atskyrimo planas; tai pašalina patikrą, kuri įgaliojimams suteikė prasmę.

Laikykite dvi saugyklas nepriklausomas ir užrašykite, kuri įstaiga kurią išduoda. Kai viena keičiama, kita neturėtų reikalauti pakeitimų, o jei reikalauja, susiejimas yra tai, ką reikia taisyti.

Nuspręskite, kur gyvena administravimas

VPN administravimo sąsaja priklauso valdymo keliui, niekada viešajam klausytojui, net kai hostas jau aptarnauja internetą. Žiniatinklio serveris 443 prievade nereiškia, kad partnerių konsolė turi būti pasiekiama iš visur, o konsolė paprastai yra vertingesnis taikinys. Pririškite ją prie grįžimo ar valdymo adreso, apribokite pagal šaltinį ir laikykite atkūrimo kelią, kuris nepriklauso nuo to, ar tunelis pakeltas. Atkūrimo kelias svarbus, nes įprasta klaida yra užsirakinti, kol taisote užraktą.

Rašykite siauras ugniasienės taisykles, po vieną klausytojui, įvardydami sąsają ar paslaugos paskyrą, kur platforma tai palaiko. Plačios taisyklės, atveriančios hostą, nes svetainei reikia 443, yra būdas, kuriuo administravimo sąsajos patenka į skaitytuvų indeksus.

Peržiūrėkite šias taisykles pagal klausytojų lentelę kiekvieną kartą, kai pridedama paslauga. Peržiūra pigi ir ji pagauna taisyklę, kurią kas nors pridėjo antrą valandą nakties.

Nuspręskite, ką daryti, kai abu varžosi

Hostą dalytis reiškia dalytis procesoriumi, atmintimi, failų deskriptoriais ir pralaidumu, o ginčijamas išteklius ne visada akivaizdus. Užimta svetainė gali užpildyti jungčių lentelę, išnaudoti darbuotojų vietas arba taip stipriai spausti disko eilę, kad VPN žurnalo rašymas sustotų. Stebėkite naudojimą pagal paslaugą, o ne hosto sumas, nes vidurkis paslepia, kuris procesas badauja. Jei viena apkrova nuolat trukdo kitai, izoliuokite jas, o ne derinkite aplink simptomą.

Izoliacija gali būti konteineris, cgroup riba, atskira eilė ar antras hostas, o teisingas pasirinkimas priklauso nuo to, kuris išteklius varžosi. Prievado pakeitimas čia nieko nepataiso, o didesnė instancija nieko nepataiso, jei riba yra viena prisotinta eilė. Spręskite matavimu: įvardykite išteklių, apkraukite jį, tada pasirinkite mažiausią izoliaciją, kuri pašalina varžybas.

Patikrinkite iš išorės, paskui dar kartą po perkrovimo

Išbandykite iš įrenginio, kuris nėra hosto pačio tinkle: įkelkite svetainę, pakelkite tunelį ir pasiekkite vieną išteklių, kuris jo reikalauja. Tada perkraukite kiekvieną paslaugą atskirai ir pakartokite kitą testą, nes perkrovimas yra momentas, kai bendro klausytojo susitarimas praranda tvarką. Jei VPN startuoja prieš žiniatinklio serverį, kuriam priklauso bendras prievadas, dalijimosi mechanizmas gali niekada neprisijungti, o simptomas yra tunelis, kuris vakar veikė. Padarykite priklausomybę aiškią vienetų tvarkoje.

Tada patvirtinkite ribas: svetainė atsako savo prievade, VPN atsako savo, o administravimo sąsaja atsako tik iš valdymo kelio. Užrašykite rezultatą šalia klausytojų lentelės su data. Hostas, praeinantis visus tris patikrinimus po perkrovimo, yra hostas, kurį galite perduoti kitam be instruktažo.