VPN un vietnes darbināšana vienā resursdatorā bez sadursmēm

Kad dalāt vienu resursdatoru starp publisku vietni un VPN, jūs mantoja divus jautājumus, nevis vienu: kas kur klausās un kas ko autentificē. Atbildiet uz abiem pirms konfigurācijas faila aizskaršanas, jo noklusējuma vērtības ir nepareizas tādos veidos, kas parādās tikai slodzes laikā. Lapa, kas ielādējas caur HTTPS, pierāda, ka tīmekļa klausītājs atbild, un neko par vienaudža klausītāju. Tālāk ir lēmumu secība, kas neļauj abiem viens otru apēst.

Izlemiet, kas klausās kurā adresē un transportā

Uzrakstiet tabulu ar trim kolonnām, adrese, transports un ports, un vienu rindu katrai pakalpojumam, tostarp administratīvajai saskarnei. TCP 443 vietnei un UDP 443 VPN nav sadursme pat tad, ja skaitļi sakrīt, jo transports atšķiras. Diviem pakalpojumiem vienā adresē, transportā un portā ir vajadzīga vienošanās, ko dokumentē ieviešana, nevis tāda, ko izdomājat avārijas laikā. Šī tabula ir arī artefakts, kas padara nākamo izmaiņu pārskatāmu.

Atsevišķas adreses vai otrs ports padara īpašumtiesības redzamas pakešu tveršanā, un tas ir vērtīgāk par eleganci. Dažas VPN ieviešanas atbalsta porta koplietošanu ar tīmekļa serveri, bet mehānisms ir specifisks: dēmons pārbauda pirmos baitus un pārsūta trafiku, kas nav viņa paša protokols. Vispārīgs HTTP reversais starpniekservers to nedara, un galveņu pārrakstīšana neliks tam saprast šifrēta tuneļa rokasspiedienu. Izlasiet protokola izvietošanas piezīmes, piemēram, OpenVPN klausītāja dokumentāciju, un sekojiet vienošanās, ko tā apraksta.

Izlemiet, kura identitāte pieder kuram pakalpojumam

Pārlūkprogrammas sertifikāts un VPN vienaudža akreditācija ir dažādi objekti ar dažādiem uzticēšanās modeļiem. Tīmekļa sertifikātu validē publiska iestāde un tas nosauc resursdatora nosaukumu, bet vienaudža akreditācija autentificē ierīci vai lietotāju pie koncentratora un var būt pašparakstīta vai izsniegta iekšēji. Viena izmantošana otra vietā darbojas šauros gadījumos un reti ir šīs sasaistes vērta. Pārbaudes izslēgšana, lai kopīgs sertifikāts atbilstu, nav atdalīšanas plāns; tā noņem pārbaudi, kas akreditācijai deva jēgu.

Turiet abas krātuves neatkarīgas un pierakstiet, kura iestāde katru izsniedz. Kad vienu rotē, otram nevajadzētu būt nepieciešamām izmaiņām, un, ja tomēr, sasaiste ir tas, kas jālabo.

Izlemiet, kur dzīvo administrēšana

VPN administratīvā saskarne pieder pārvaldības ceļam, nekad publiskajam klausītājam, pat ja resursdators jau apkalpo internetu. Tīmekļa serveris uz 443 nenozīmē, ka vienaudžu konsolei jābūt sasniedzamai no jebkurienes, un konsole parasti ir vērtīgāks mērķis. Piesaistiet to cilpas atgriezeniskajai vai pārvaldības adresei, ierobežojiet pēc avota un turiet atjaunošanas ceļu, kas nav atkarīgs no tā, vai tunelis ir pacelts. Atjaunošanas ceļš ir svarīgs, jo parastā kļūda ir aizslēgt sevi ārpusē, labojot slēdzeni.

Rakstiet šaurus ugunsmūra noteikumus, pa vienam klausītājam, nosaucot saskarni vai pakalpojuma kontu, kur platforma to atbalsta. Plaši noteikumi, kas atver resursdatoru, jo vietnei vajag 443, ir veids, kā administratīvās saskarnes nonāk skeneru indeksos.

Pārskatiet šos noteikumus pret klausītāju tabulu ikreiz, kad tiek pievienots pakalpojums. Pārskats ir lēts, un tas noķer noteikumu, ko kāds pievienoja divos naktī.

Izlemiet, ko darīt, kad abi sacenšas

Resursdatora koplietošana nozīmē procesora, atmiņas, failu deskriptoru un joslas platuma koplietošanu, un strīdīgais resurss ne vienmēr ir acīmredzamais. Noslogota vietne var piepildīt savienojumu tabulu, izsmelt darbinieku vietas vai piespiest diska rindu tik stipri, ka VPN žurnālēšana apstājas. Vērojiet lietojumu pa pakalpojumiem, nevis resursdatora kopsummas, jo vidējais slēpj, kurš process bada. Ja viena slodze atkārtoti traucē otrai, izolējiet tās, nevis regulējiet ap simptomu.

Izolācija var būt konteiners, cgroup ierobežojums, atsevišķa rinda vai otrs resursdators, un pareizā izvēle ir atkarīga no tā, kurš resurss sacenšas. Porta maiņa šeit neko nelabo, un lielāka instance neko nelabo, ja ierobežojums ir viena piesātināta rinda. Izlemiet ar mērījumu: nosauciet resursu, noslogojiet to, tad izvēlieties mazāko izolāciju, kas novērš sacensību.

Pārbaudiet no ārpuses, tad vēlreiz pēc pārstartēšanas

Pārbaudiet no ierīces, kas nav resursdatora paša tīklā: ielādējiet vietni, paceliet tuneli un sasniedziet vienu resursu, kas to prasa. Pēc tam pārstartējiet katru pakalpojumu atsevišķi un atkārtojiet otru testu, jo pārstartēšana ir brīdis, kad kopīga klausītāja vienošanās zaudē savu kārtību. Ja VPN startē pirms tīmekļa servera, kam pieder kopīgais ports, koplietošanas mehānisms var nekad nepievienoties, un simptoms ir tunelis, kas vakar strādāja. Padariet atkarību skaidru vienību secībā.

Tad apstipriniet robežas: vietne atbild savā portā, VPN atbild savā, un administratīvā saskarne atbild tikai no pārvaldības ceļa. Pierakstiet rezultātu blakus klausītāju tabulai ar datumu. Resursdators, kas pēc pārstartēšanas iztur visas trīs pārbaudes, ir resursdators, ko varat nodot kādam citam bez instruktāžas.