VPN സെർവറിനായി ക്ലൗഡ് ഫയർവാൾ, ഹോസ്റ്റ് ഫയർവാൾ

ക്ലൗഡ് നയത്തിൽ VPN പോർട്ട് അനുവദിച്ചാലും ഹാൻഡ്ഷേക്ക് ഇൻസ്റ്റൻസിൽ തന്നെ മരിക്കാം: അതിഥി സ്വന്തം ഫിൽട്ടറും സ്വന്തം ശ്രോതാവ് ബൈൻഡിംഗും പ്രവർത്തിപ്പിക്കുന്നു, ഇവയിൽ ഏതെങ്കിലും ക്ലൗഡ് അനുവദിച്ചത് വലിച്ചെറിയാം. നേരെമറിച്ചും സംഭവിക്കാം, ഹോസ്റ്റ് നിയമം പോർട്ട് അനുവദിക്കുമ്പോൾ മുകളിലെ നയം അത് ആദ്യം വലിച്ചെറിയുന്നു. രണ്ട് ഉടമകൾ, രണ്ട് നിയമക്കൂട്ടങ്ങൾ, ഒരു പാക്കറ്റ് പാത. ഏറ്റവും സംശയാസ്പദമായ പാളിയിൽ ഊഹിക്കുന്നതിനു പകരം അത് ക്രമത്തിൽ നടക്കുക.

അരികിൽ നിന്ന് തുടങ്ങി അകത്തേക്ക് നീങ്ങുക

ക്രമം നിശ്ചിതമാണ്: പൊതു എൻഡ്പോയിന്റ്, വിഭവ ഇന്റർഫേസ്, ബന്ധിപ്പിച്ച ക്ലൗഡ് നയം, അതിഥി വിലാസം, പ്രോസസ് ശ്രോതാവ്, പ്രാദേശിക ഇൻപുട്ട് നിയമങ്ങൾ. ഓരോ ഘട്ടവും പാക്കറ്റ് കടത്തിവിടുകയോ അന്വേഷണം അവസാനിപ്പിക്കുകയോ ചെയ്യുന്നു, അതിനാൽ അതിഥിയിൽ നിന്ന് തുടങ്ങുന്നത് ഏറ്റവും കൂടുതൽ സമയം നഷ്ടപ്പെടുത്തുന്നു.

ഫോർവേഡ് ചെയ്ത ക്ലയന്റ് ട്രാഫിക് വേറിട്ട ഘട്ടമാണ്, ടണൽ ഡീകാപ്സുലേറ്റ് ചെയ്ത ശേഷം പരിശോധിക്കുന്നു. ക്ലൗഡ് പാളി പുറം ടണൽ മാത്രം കാണുന്നു, അതിനാൽ ഒരു കണക്ഷൻ അനുവദിച്ചാലും ആന്തരിക സേവന അഭ്യർത്ഥനയുമായി അതിന് യാതൊരു ബന്ധവുമില്ലായിരിക്കാം. കണക്ട് ചെയ്യുന്നെങ്കിലും ആന്തരിക ഹോസ്റ്റിലെത്താത്ത ടണൽ സാധാരണയായി ഫോർവേഡിംഗിനെയാണ് സൂചിപ്പിക്കുന്നത്, അടച്ച പോർട്ടിനെയല്ല.

അതിഥിയെ സ്പർശിക്കുന്നതിന് മുമ്പ് ക്ലൗഡ് നയം വായിക്കുക

VPN പോർട്ടിന്റെ ഇൻബൗണ്ട് നിയമം, അതിന്റെ പ്രോട്ടോക്കോൾ, നിങ്ങളുടെ പരീക്ഷണ ക്ലയന്റുമായി ചേരുന്ന സ്രോതസ് പരിധി എന്നിവ സ്ഥിരീകരിക്കുക. സബ്നെറ്റ് ആക്സസ് കൺട്രോൾ ലിസ്റ്റും പരിശോധിക്കുക: സ്വന്തം നിയമങ്ങളും ഡിഫോൾട്ടുകളുമുള്ള രണ്ടാമത്തെ ഫിൽട്ടർ. പാക്കറ്റ് ഇൻസ്റ്റൻസിലെത്തുന്നതിന് മുമ്പ് രണ്ടും ഫ്ലോ അനുവദിക്കണം. ഒന്നിൽ അനുവാദവും മറ്റേതിൽ നിരസവുമാണ് ഈ ബഗിന്റെ സാധാരണ രൂപം.

പരിധി അർത്ഥവത്താകുന്നതുവരെ ചുരുക്കുക. VPN പോർട്ട് മുഴുവൻ ഇന്റർനെറ്റിനും തുറക്കുന്നത് തെളിയിക്കാൻ എളുപ്പവും പ്രതിരോധിക്കാൻ ബുദ്ധിമുട്ടുമാണ്, എന്നാൽ ഒരു വിലാസത്തിൽ പിന്നിട്ട നിയമം നിങ്ങളുടെ പരീക്ഷണ ക്ലയന്റ് നെറ്റ്വർക്ക് മാറുമ്പോൾ തകരുന്നു. നിയമത്തിന്റെ ഐഡന്റിഫയറും നയത്തിന്റെ ഉടമയും രേഖപ്പെടുത്തുക, അടുത്ത മാറ്റം ഒരു വ്യക്തിയിലേക്ക് കണ്ടെത്താൻ കഴിയണം.

ആദ്യം ശ്രോതാവ്, പിന്നെ ഇൻപുട്ട് ചെയിൻ സ്ഥിരീകരിക്കുക

ഇൻസ്റ്റൻസിൽ, VPN പ്രോസസ് നിങ്ങൾ പ്രതീക്ഷിക്കുന്ന വിലാസത്തിലും പോർട്ടിലും ബൗണ്ട് ചെയ്തിട്ടുണ്ടോ എന്ന് പരിശോധിക്കുക, ഉദാഹരണത്തിന് ss -lntp 'sport = :1194' ഉപയോഗിച്ച്. 127.0.0.1 ലേക്ക് മാത്രം ബൗണ്ട് ചെയ്ത ഡീമൺ പ്രാദേശിക ക്ലയന്റുകളെ സ്വീകരിക്കുന്നു, ടണലിലൂടെ ഒന്നും സ്വീകരിക്കുന്നില്ല, ഇത് പുറത്തുനിന്ന് കാണുമ്പോൾ കൃത്യമായി ഫിൽട്ടർ ചെയ്ത പോർട്ട് പോലെയാണ്.

പിന്നീട് പ്രാദേശിക നിയമങ്ങൾ അവ മാറ്റാൻ നിങ്ങൾ ഉപയോഗിക്കുന്ന അതേ വാക്യഘടനയിൽ വായിക്കുക, ഉദാഹരണത്തിന് iptables -S INPUT അല്ലെങ്കിൽ nft list chain inet filter input. ഫയലിൽ എഴുതിയെങ്കിലും ഒരിക്കലും ലോഡ് ചെയ്യാത്ത നിയമം, അല്ലെങ്കിൽ യോജിക്കുന്ന അനുവാദമില്ലാത്ത ഡിഫോൾട്ട് ഡ്രോപ്പ്, പാക്കറ്റുകൾ നിശ്ശബ്ദമായി വലിച്ചെറിയുന്നു. ഫോർവേഡ് ചെയ്യുന്ന ഗേറ്റ്വേയ്ക്ക് ഫോർവേഡിംഗ്, റിവേഴ്സ്-പാത്ത് ക്രമീകരണങ്ങളും പരിശോധിക്കുക. ഇൻസ്റ്റൻസിലേക്ക് അയക്കാതെ അതിലൂടെ റൂട്ട് ചെയ്യുന്ന പാക്കറ്റുകൾക്ക് എന്ത് സംഭവിക്കുമെന്ന് അവയാണ് തീരുമാനിക്കുന്നത്.

ഒരു പാളിയിൽ സ്റ്റേറ്റ്ഫുൾ, അടുത്തതിൽ സ്റ്റേറ്റ്ലെസ്

സെക്യൂരിറ്റി ഗ്രൂപ്പുകൾ അനുവദിച്ച ഫ്ലോകൾ ഓർക്കുന്നു, പ്രതികരണങ്ങൾ തിരികെ കടത്തിവിടുന്നു. സബ്നെറ്റ് ആക്സസ് കൺട്രോൾ ലിസ്റ്റുകളും പല ഹോസ്റ്റ് ഫയർവാളുകളും അത്തരം അവസ്ഥ സൂക്ഷിക്കുന്നില്ല, അതിനാൽ പുറത്തേക്കുള്ള ദിശ മാത്രം ഉൾക്കൊള്ളുന്ന നിയമം അഭ്യർത്ഥന കടത്തിവിട്ട് പ്രതികരണം വലിച്ചെറിയുന്നു. രണ്ടാം പാളിയുടെ നിയമം വായിക്കാതെ പാളികൾക്കിടയിൽ തിരിച്ചുവരുന്ന ട്രാഫിക്കിനെക്കുറിച്ചുള്ള ഊഹം ഒരിക്കലും കൊണ്ടുനടക്കരുത് (second layer's rule).

അക്കൗണ്ടിലെ ഓരോ നിയമവും വായിക്കുന്നതിനേക്കാൾ കൗണ്ടറുകൾ ഇത് വേഗത്തിൽ തീർപ്പാക്കുന്നു. കയറുന്ന കൗണ്ടർ എന്നാൽ പാക്കറ്റ് അവിടെ എത്തി അവിടെ വലിച്ചെറിയപ്പെട്ടു, പൂജ്യത്തിൽ ഉറഞ്ഞ കൗണ്ടർ എന്നാൽ അത് അവിടം വരെ എത്തിയില്ല; നിയമങ്ങൾ കൗണ്ടറുകളോടെ ലോഡ് ചെയ്താൽ iptables -vnL INPUT ഉം nft list ruleset ഉം ആ സംഖ്യകൾ കാണിക്കുന്നു.

ജീവനുള്ള സെഷനല്ല, പുതിയ സെഷൻ കൊണ്ട് പരീക്ഷിക്കുക

ദൃശ്യങ്ങൾ താരതമ്യം ചെയ്യുമ്പോൾ സ്രോതസ് നെറ്റ്വർക്കും പരീക്ഷണ പ്രൊഫൈലും മാറ്റാതിരിക്കുക, ഓരോ മാറ്റത്തിനും ശേഷം പുതിയ കണക്ഷൻ തുറക്കുക. 443 ൽ വെബ് കൺസോളിൽ എത്തുന്നത് VPN ഡീമൺ 1194 ൽ ബൗണ്ട് ചെയ്തിട്ടുണ്ടോ എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല, അതിനാൽ ആവശ്യമായ പോർട്ട് പരീക്ഷിക്കുക. നിലവിലുള്ള സെഷനാണ് ഇവിടെ ഏറ്റവും മോശം സാക്ഷി. ഓരോ പുതിയ ലോഗിനും നിരസിക്കപ്പെടുമ്പോഴും അത് പ്രവർത്തിക്കുന്നു.

വിദൂര നയം എഡിറ്റ് ചെയ്യുന്നതിന് മുമ്പ് നിങ്ങൾ മാറ്റുന്ന പാതയെ ആശ്രയിക്കാത്ത മടങ്ങിവരവ് വഴി ഉറപ്പാക്കുക. തുടർന്ന് VPN പരീക്ഷണത്തിനൊപ്പം രണ്ടാമത്തെ അഡ്മിനിസ്ട്രേഷൻ സെഷൻ തുറക്കുക: മുമ്പ് സ്ഥാപിച്ചത് പുതിയവയെ തടയുന്ന നിയമത്തെ അതിജീവിച്ചേക്കാം. രണ്ട് നയങ്ങളുടെയും ഉടമയെ രേഖപ്പെടുത്തുക, ഒരു പുനർനിർമ്മാണവും പാതയുടെ പകുതി പുനഃസ്ഥാപിക്കരുത്; രണ്ട് പാളികളും യോജിക്കുന്നുവെങ്കിലും ടണൽ പരാജയപ്പെടുന്നുവെങ്കിൽ, അതിഥി ഇന്റർഫേസിൽ ക്യാപ്ചർ ചെയ്ത് ക്ലയന്റ് യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന വിലാസവും പോർട്ടും പരിശോധിക്കുക.