Ierobežojiet VPN klausītāju ar saskarnēm, kuras domājāt

VPN pakalpojums ir pieejams no jebkurienes, kur tā ligzda ir piesaistīta un tā ugunsmūris to atļauj. Tie ir divi atsevišķi lēmumi, un cilvēki parasti pieņem tikai vienu no tiem. Faktiskā klausītāja nolasīšana aizņem desmit sekundes un atrisina jautājumu, ko minējumi nevar atrisināt. Sāciet tur, pēc tam mainiet vienu kontroli vienlaikus.

Viss turpmāk pieņem, ka varat izpildīt komandas resursdatorā ar root vai sudo.

Nolasiet ligzdas, pirms kaut ko maināt

Linux sistēmā ss -lunp uzskaita UDP klausītājus ar to vietējo adresi, portu un procesu, un ss -ltnp dara to pašu TCP gadījumā. Atrodiet VPN portu un uzmanīgi nolasiet adreses kolonnu. 0.0.0.0:51820 un [::]:51820 nozīmē visas saskarnes, bet 10.0.0.5:51820 nozīmē vienu adresi vienā saskarnē. ss rokasgrāmata dokumentē kolonnas, ja izvade nav pazīstama. Ja trūkst procesa nosaukuma, palaidiet to pašu komandu ar sudo, jo īpašnieka kolonnai nepieciešamas privilēģijas.

Pierakstiet adresi. Tas ir fakts, no kura atkarīga pārējā šīs rokasgrāmatas daļa.

Piesaistiet adresei, nevis vēlmei

OpenVPN ar savu local direktīvu piesaista klausītāju konkrētai adresei, un tas ir atbalstītais veids, kā ierobežot to procesa līmenī. Ne katra implementācija piedāvā ekvivalentu, un protokolu bez piesaistes opcijas šādi nevar sašaurināt. Ja jūsējam tādas nav, ugunsmūris ir vienīgā jūsu kontrole, un izvietošanas piezīmēm tas skaidri jāsaka. Resursdatorā ar vairākām adresēm piesaistiet to, kas vērsta pret tuneli; piesaistīšana peldošai adresei parasti ir kļūda.

Pakalpojumam, kam jāpārdzīvo adreses maiņa, ir vajadzīgs plāns novecojušai piesaistei, nevis tikai konfigurācijas rinda.

Pārbaudiet adrešu saimi atsevišķi

IPv4 un IPv6 ir atsevišķas ligzdas. Process, kas piesaistīts 0.0.0.0, joprojām var pieņemt IPv6 caur divkāršas kaudzes ligzdu vai arī ne, atkarībā no ligzdas opcijas un platformas noklusējuma. Tikai IPv4 rindas lasīšana ir maldinājusi vairāk nekā vienu izvietošanas pārskatu. Uzskaitiet abas saimes, pirms secināt, ka klausītājs ir šaurs.

Ja IPv6 nav dizaina daļa, tā izslēgšana ligzdas līmenī ir tīrāka nekā cerēšana, ka ugunsmūris to aptvers. Tas ir politikas lēmums, tāpēc pierakstiet to kopā ar pārējām saskarnes izvēlēm.

Uzklājiet ugunsmūri virs piesaistes

Šaura piesaiste neaizstāj ugunsmūra noteikumu, un ugunsmūra noteikums nesašaurina wildcard piesaisti. Izmantojiet abus: piesaistiet tur, kur implementācija to atbalsta, pēc tam atļaujiet portu tikai no tiem avotiem, kuriem tas jāsasniedz. Mākoņa drošības grupas atrodas resursdatora ugunsmūra priekšā, tāpēc pārbaudiet abus, kad ceļš šķērso VPC robežu. Efektīvais noteikums ir abu krustpunkts, un katrs slānis var tikai atņemt sasniedzamību.

Pārbaudiet no atļauta avota un no apzināti izslēgta. Savienojums no localhost neko nepierāda par publisko robežu.

Pierakstiet, ko izvēlējāties

Pierakstiet piesaistīto adresi, saskarni, kas to pārvalda, ugunsmūra noteikumu un tā mērķi. Nomainīta NIC vai pārdalīta mākoņa adrese var mainīt iedarbību, nevienam nerediģējot profilu. Datējiet piezīmi, jo mākoņa adreses starp pārskatiem pārvietojas biežāk, nekā cilvēki gaida.

Tieši šī piezīme padara nākamo pārskatu par salīdzinājumu, nevis arheoloģijas projektu.