Mākoņa ugunsmūris pret resursdatora ugunsmūri VPN serverim

Atļaujiet VPN portu mākoņa politikā, un rokasspiediens joprojām var nomirt instancē: viesis darbina savu filtru un savu klausītāja piesaisti, un jebkurš no tiem var izmest to, ko mākonis apstiprināja. Notiek arī otrādi, kad resursdatora noteikums atļauj portu un augstāka politika to izmet pirmā. Divi īpašnieki, divas noteikumu kopas, viens pakešu ceļš. Izstaigājiet to secībā, nevis miniet visai aizdomīgākajā slānī.

Sāciet malā un virzieties uz iekšu

Secība ir fiksēta: publiskais galapunkts, resursa saskarne, piesaistītā mākoņa politika, viesa adrese, procesa klausītājs, vietējie ievades noteikumi. Katrs posms vai nu palaiž paketi tālāk, vai beidz izmeklēšanu, tāpēc sākšana pie viesa zaudē visvairāk laika.

Pārsūtītā klienta plūsma ir atsevišķs posms, ko pārbauda pēc tunela dekapsulācijas. Mākoņa slānis redz tikai ārējo tuneli, tāpēc tas var apstiprināt savienojumu un tomēr nekādi nebūt saistīts ar iekšējas pakalpojuma pieprasījumu. Tunelis, kas savienojas, bet nesasniedz iekšēju resursdatoru, parasti norāda uz pārsūtīšanu, nevis uz slēgtu portu.

Izlasiet mākoņa politiku pirms viesa aiztikšanas

Apstipriniet VPN porta ienākošo noteikumu, tā protokolu un avota tvērumu, kas atbilst jūsu testa klientam. Pārbaudiet arī apakštīkla piekļuves kontroles sarakstu: otrs filtrs ar saviem noteikumiem un noklusējumiem. Abiem jāļauj plūsmai, pirms pakete sasniedz instanci. Atļauja vienā un atteikums otrā ir ierastā šīs kļūdas forma.

Sašauriniet tvērumu, līdz tam ir jēga. Atvērt VPN portu visam internetam ir viegli pierādīt un grūti aizstāvēt, savukārt noteikums, kas piesprausts vienai adresei, salūzt, kad jūsu testa klients maina tīklu. Pierakstiet noteikuma identifikatoru un politikas īpašnieku, lai nākamā izmaiņa būtu izsekojama līdz cilvēkam.

Apstipriniet klausītāju, tad ievades ķēdi

Instancē pārbaudiet, vai VPN process ir piesaistīts adresei un portam, ko gaidāt, piemēram, ar ss -lntp 'sport = :1194'. Dēmons, kas piesaistīts tikai 127.0.0.1, pieņem vietējos klientus un neko caur tuneli, kas no ārpuses izskatās tieši kā filtrēts ports.

Pēc tam lasiet vietējos noteikumus tajā sintaksē, ko izmantotu to maiņai, piemēram, iptables -S INPUT vai nft list chain inet filter input. Noteikums, kas ierakstīts failā, bet nekad nav ielādēts, vai noklusējuma nomešana bez atbilstošas atļaujas paketes nomet klusībā. Pārsūtošam vārtejam pārbaudiet arī pārsūtīšanas un atgriezeniskā ceļa iestatījumus. Tie izlemj, kas notiek ar paketēm, kas maršrutētas caur instanci, nevis adresētas tai.

Ar stāvokli vienā slānī, bez stāvokļa nākamajā

Drošības grupas atceras plūsmas, ko atļāvušas, un ielaiž atbildes atpakaļ. Apakštīklu piekļuves kontroles saraksti un daudzi resursdatora ugunsmūri šādu stāvokli neglaba, tāpēc noteikums, kas aptver tikai izejošo virzienu, palaiž pieprasījumu un nomet atbildi. Nekad nepārnesiet pieņēmumu par atgriezenisko plūsmu starp slāņiem, neizlasot otrā slāņa noteikumu (second layer's rule).

Skaitītāji to izlemj ātrāk nekā katrs konta noteikums. Augošs skaitītājs nozīmē, ka pakete tur nonāca un tika nomesta, bet iesaldēts uz nulles nozīmē, ka tā tur nekad nenokļuva; iptables -vnL INPUT un nft list ruleset parāda šos skaitļus, kad noteikumi tika ielādēti ar skaitītājiem.

Testējiet ar jaunu sesiju, nevis dzīvu

Atstājiet avota tīklu un testa profilu neskartus, kamēr salīdzināt skatus, un pēc katras izmaiņas atveriet jaunu savienojumu. Sasniegt tīmekļa konsoli uz 443 neko nepasaka par to, vai VPN dēmons ir piesaistīts 1194, tāpēc testējiet vajadzīgo portu. Esošā sesija šeit ir sliktākais liecinieks. Tā turpina darboties, kamēr katrs jaunais pieteikums tiek noraidīts.

Pirms attālinātās politikas rediģēšanas nodrošiniet atgriešanās ceļu, kas nav atkarīgs no ceļa, kuru maināt. Pēc tam atveriet otru administrēšanas sesiju līdzās VPN testam: agrāk izveidota sesija var pārdzīvot noteikumu, kas bloķē jaunās. Pierakstiet abu politiku īpašniekus, lai neviena pārbūve neatjaunotu pusi ceļa; ja abi slāņi piekrīt un tunelis joprojām neizdodas, tveriet viesa saskarnē un pārbaudiet adresi un portu, ko klients patiešām izmanto.