Извршување на VPN и веб-страница на еден домаќин без судири

Кога делите еден домаќин меѓу јавна страница и VPN, наследувате две прашања, а не едно: што слуша каде и кој кого автентицира. Одговорете и на двете пред да допрете конфигурациска датотека, бидејќи стандардните вредности се погрешни на начини што се појавуваат само под оптоварување. Страница што се вчитува преку HTTPS докажува дека веб-слушачот одговара и ништо за партнерскиот слушач. Следното е ред на одлуки што спречува двете да се изедат.

Одлучете што слуша на која адреса и транспорт

Напишете табела со три колони, адреса, транспорт и порта, и еден ред за секоја услуга, вклучувајќи го административниот интерфејс. TCP 443 за страницата и UDP 443 за VPN не се судир дури и кога броевите се совпаѓаат, бидејќи транспортот е различен. Две услуги на иста адреса, транспорт и порта бараат распоред што го документира имплементацијата, а не оној што го измислувате за време на прекин. Таа табела е и артефактот што ја прави следната промена проверлива.

Одделни адреси или втора порта ја прават сопственоста видлива во фаќање пакети, и тоа вреди повеќе од елеганција. Некои VPN имплементации поддржуваат споделување на порта со веб-сервер, но механизмот е специфичен: демонот ги проверува првите бајти и проследува сообраќај што не е негов протокол. Општ обратен посредник за HTTP не го прави тоа, а препишувањето заглавија нема да го натера да разбере ракување на шифриран тунел. Прочитајте ги белешките за распоредување на протоколот, како документацијата за слушачот на OpenVPN, и следете го распоредот што го опишува.

Одлучете кој идентитет припаѓа на која услуга

Сертификатот на прелистувачот и уверението на VPN партнерот се различни објекти со различни модели на доверба. Веб-сертификатот го валидира јавно тело и именува име на домаќин, додека уверението на партнерот автентицира уред или корисник кај концентраторот и може да биде самопотпишано или издадено внатрешно. Користењето едно како друго работи во тесни случаи и ретко вреди таквото поврзување. Исклучувањето на проверката за да одговара заеднички сертификат не е план за одвојување; тоа ја отстранува проверката што му даваше значење на уверението.

Држете ги двете складови независни и запишете кое тело го издава секое. Кога едното се ротира, другото не би требало да бара промена, а ако бара, поврзувањето е она што треба да се поправи.

Одлучете каде живее администрацијата

Административниот интерфејс на VPN припаѓа на управувачка патека, никогаш на јавниот слушач, дури и кога домаќинот веќе служи интернет. Веб-сервер на 443 не значи дека конзолата на партнерите треба да биде достапна од секаде, а конзолата обично е повредна цел. Врзете ја за повратна или управувачка адреса, ограничете ја по извор и држете патека за враќање што не зависи од тоа дали тунелот е кренат. Патеката за враќање е важна зашто вообичаената грешка е да се заклучите надвор додека ја поправате бравата.

Пишете тесни правила на огнениот ѕид, едно за секој слушач, именувајќи го интерфејсот или услужната сметка каде платформата го поддржува тоа. Широките правила што го отвораат домаќинот зашто на страницата ѝ треба 443 се начинот на кој административните интерфејси завршуваат во индексите на скенери.

Прегледајте ги тие правила наспроти табелата на слушачи секогаш кога се додава услуга. Прегледот е евтин и го фаќа правилото што некој го додал во два наутро.

Одлучете што да правите кога двете се натпреваруваат

Споделувањето домаќин значи споделување процесор, меморија, датотечни дескриптори и пропусен опсег, а спорниот ресурс не е секогаш очигледниот. Зафатена страница може да ја наполни табелата со врски, да ги исцрпи работните места или да ја притисне дисковата опашка доволно силно за да застане евидентирањето на VPN. Гледајте ја употребата по услуга, а не вкупните броеви на домаќинот, бидејќи просекот крие кој процес гладува. Ако едно оптоварување постојано го попречува другото, изолирајте ги наместо да дотерувате околу симптомот.

Изолацијата може да биде контејнер, cgroup ограничување, одделна опашка или втор домаќин, а правилниот избор зависи од тоа кој ресурс се натпреварува. Промената на порта овде ништо не поправа, а поголема инстанца ништо не поправа ако ограничувањето е една заситена опашка. Одлучете со мерење: именувајте го ресурсот, оптоварете го, потоа изберете ја најмалата изолација што го отстранува натпреварувањето.

Проверете однадвор, потоа повторно по престартување

Тестирајте од уред што не е на сопствената мрежа на домаќинот: вчитајте ја страницата, кренете го тунелот и стигнете до еден ресурс што го бара. Потоа престартувајте ја секоја услуга одделно и повторете го другиот тест, бидејќи престартувањето е моментот кога распоредот на заеднички слушач ја губи својата наредба. Ако VPN стартува пред веб-серверот што ја поседува заедничката порта, механизмот за споделување може никогаш да не се прикачи, а симптомот е тунел што работеше вчера. Направете ја зависноста експлицитна во редоследот на единиците.

Потоа потврдете ги границите: страницата одговара на својата порта, VPN одговара на својата, а административниот интерфејс одговара само од управувачката патека. Запишете го резултатот до табелата на слушачи со датумот. Домаќин што ги поминува сите три проверки по престартување е домаќин што можете да го предадете на некој друг без брифинг.