Ограничете VPN слушател на интерфејсите што ги имавте на ум
Wildcard слушател и правило на огнен ѕид се различни контроли. Прочитајте ги вистинските сокети со ss, потоа проверете го семејството адреси и огнениот ѕид.
VPN услугата е достапна од секаде каде што нејзиниот сокет е врзан и нејзиниот огнен ѕид го дозволува. Тоа се две одделни одлуки, и луѓето обично донесуваат само една од нив. Читањето на вистинскиот слушател трае десет секунди и решава прашање што погодувањето не може. Започнете оттаму, потоа менувајте една контрола одеднаш.
Сето подолу претпоставува дека можете да извршувате команди на домаќинот со root или sudo.
Прочитајте ги сокетите пред да промените нешто
На Linux, ss -lunp ги наведува UDP слушателите со нивната локална адреса, порта и процес, а ss -ltnp го прави истото за TCP. Најдете ја портата на VPN и внимателно прочитајте ја колоната со адреса. 0.0.0.0:51820 и [::]:51820 значат секој интерфејс, додека 10.0.0.5:51820 значи една адреса на еден интерфејс. Упатството за ss ги документира колоните ако излезот е непознат. Ако името на процесот недостасува, извршете ја истата команда со sudo, бидејќи колоната за сопственик бара привилегија.
Запишете ја адресата. Тоа е фактот од кој зависи остатокот од овој прирачник.
Врзете се на адреса, не на желба
OpenVPN со својата local директива го врзува слушателот на одредена адреса, и тоа е поддржаниот начин да се ограничи на ниво на процес. Не секоја имплементација нуди еквивалент, а протокол без опција за врзување не може да се стесни на овој начин. Ако вашата нема ниту една, огнениот ѕид е вашата единствена контрола, и белешките за распоредување треба тоа јасно да го кажат. На домаќин со неколку адреси, врзете се на онаа што гледа кон тунелот; врзувањето на адреса што лебди е обично грешка.
Услуга што мора да преживее промена на адресата бара план за застареното врзување, не само конфигурациска линија.
Проверете го семејството адреси одделно
IPv4 и IPv6 се одделни сокети. Процес врзан на 0.0.0.0 може и понатаму да прифаќа IPv6 преку сокет со двоен стек, или пак не, во зависност од опцијата на сокетот и стандардната вредност на платформата. Читањето само на линијата IPv4 измами повеќе од еден преглед на распоредување. Наведете ги двете семејства пред да заклучите дека слушателот е тесен.
Ако IPv6 не е дел од дизајнот, неговото оневозможување на ниво на сокет е почисто отколку надежта дека огнениот ѕид ќе го покрие. Тоа е одлука за политика, затоа запишете ја заедно со останатите избори за интерфејс.
Слојте го огнениот ѕид врз врзувањето
Тесното врзување не заменува правило на огнен ѕид, а правилото на огнен ѕид не го стеснува wildcard врзувањето. Користете го и двете: врзете се каде што имплементацијата го поддржува, потоа дозволете ја портата само од изворите што треба да ја достигнат. Безбедносните групи во облакот стојат пред огнениот ѕид на домаќинот, затоа проверете ги и двете кога патеката ја преминува границата на VPC. Ефективното правило е пресекот на двете, и секој слој може само да одземе достапност.
Тестирајте од дозволен извор и од намерно исклучен. Врската од localhost не докажува ништо за јавната граница.
Запишете што избравте
Запишете ја врзаната адреса, интерфејсот што ја поседува, правилото на огнениот ѕид и неговата цел. Заменет NIC или преназначена облачна адреса може да ја промени изложеноста без никој да го уредува профилот. Датирајте ја белешката, бидејќи облачните адреси се движат меѓу прегледите почесто отколку што луѓето очекуваат.
Токму таа белешка го прави следниот преглед споредба наместо археолошки проект.