Облачен firewall наспроти firewall на домаќин за VPN сервер

Дозволете VPN портот во облачната политика и ракувањето сепак може да умре на инстанцата: гостинот го води сопствениот филтер и сопственото врзување на слушателот, и секое од двете може да го отфрли тоа што облакот го одобрил. Се случува и обратното, кога правило на домаќинот го дозволува портот, а политика над него го отфрла прва. Два сопственици, два сета правила, една патека на пакетот. Поминете ја по ред наместо да погодувате на најсомнителниот слој.

Започнете од работ и движете се навнатре

Редоследот е фиксен: јавна крајна точка, интерфејс на ресурсот, прикачена облачна политика, адреса на гостинот, слушател на процесот, локални влезни правила. Секоја фаза или го пропушта пакетот или ја завршува истрагата, затоа почнувањето од гостинот губи најмногу време.

Пренесениот клиентски сообраќај е одделна фаза што се проверува по декапсулација на тунелот. Облачниот слој го гледа само надворешниот тунел, па може да одобри врска и притоа да нема никаква врска со барање на внатрешна услуга. Тунел што се поврзува но не стигнува до внатрешен домаќин обично укажува на пренесување, а не на затворен порт.

Прочитајте ја облачната политика пред да го допрете гостинот

Потврдете го влезното правило за VPN портот, неговиот протокол и опсегот на извор што одговара на вашиот тест клиент. Проверете ја и листата за контрола на пристап на подмрежата: втор филтер со свои правила и стандардни вредности. Двете мора да го дозволат текот пред пакетот да стигне до инстанцата. Дозвола во едното и одбивање во другото е вообичаената форма на оваа грешка.

Стеснете го опсегот додека не значи нешто. Отворањето на VPN портот за целиот интернет е лесно да се докаже и тешко да се брани, додека правило закачено за една адреса се крши кога вашиот тест клиент ќе смени мрежа. Забележете го идентификаторот на правилото и сопственикот на политиката, за да може следната промена да се проследи до личност.

Потврдете го слушателот, потоа влезниот синџир

На инстанцата проверете дали VPN процесот е врзан за адресата и портот што ги очекувате, на пример со ss -lntp 'sport = :1194'. Демон врзан само за 127.0.0.1 прифаќа локални клиенти и ништо преку тунелот, што однадвор изгледа точно како филтриран порт.

Потоа прочитајте ги локалните правила во синтаксата што би ја користеле за да ги смените, како iptables -S INPUT или nft list chain inet filter input. Правило напишано во датотека но никогаш вчитано, или стандардно отфрлање без соодветна дозвола, ги отфрла пакетите тивко. За порта што пренесува, проверете ги и поставките за пренесување и обратна патека. Тие одлучуваат што се случува со пакетите насочени низ инстанцата, а не кон неа.

Со состојба во еден слој, без состојба во следниот

Безбедносните групи ги паметат тековите што ги дозволиле и ги пуштаат одговорите назад. Листите за контрола на пристап на подмрежи и многу firewall-и на домаќин не држат таква состојба, па правило што го покрива само излезниот правец го пропушта барањето и го отфрла одговорот. Никогаш не пренесувајте претпоставка за повратен сообраќај меѓу слоеви без да го прочитате правилото на вториот слој (second layer's rule).

Бројачите го решаваат ова побрзо од читањето на секое правило во сметката. Бројач што расте значи дека пакетот стигнал и таму бил отфрлен, а замрзнат на нула значи дека никогаш не стигнал дотолку; iptables -vnL INPUT и nft list ruleset ги покажуваат тие бројки кога правилата биле вчитани со бројачи.

Тестирајте со нова сесија, не со жива

Оставете ја изворната мрежа и тест профилот недопрени додека ги споредувате приказите, и отворете нова врска по секоја промена. Достигнувањето на веб конзолата на 443 не кажува ништо за тоа дали демонот на VPN е врзан за 1194, затоа тестирајте го портот што ви треба. Постојната сесија е најлошиот сведок овде. Продолжува да работи додека секое ново најавување е одбиено.

Пред да уредувате оддалечена политика, обезбедете пат назад што не зависи од патеката што ја менувате. Потоа отворете втора административна сесија покрај тестот на VPN: онаа воспоставена порано може да го надживее правилото што блокира нови. Забележете ги двата сопственици на политиките за да не врати никаква реконструкција половина од патеката; ако двата слоја се согласуваат, а тунелот сè уште не успева, снимајте на интерфејсот на гостинот и проверете ја адресата и портот што клиентот навистина ги користи.