VPN серверийн хувьд cloud firewall болон хост firewall

Cloud бодлогод VPN портыг зөвшөөрсөн ч гар барилт инстанс дээр үхэж болно: зочин өөрийн шүүлтүүр болон өөрийн сонсогчийн холболтыг ажиллуулдаг бөгөөд аль нь ч cloud-ын зөвшөөрснийг хаяж болно. Эсрэгээр ч тохиолддог, хост дээрх дүрэм портыг зөвшөөрч, дээд бодлого түүнийг эхлээд хаядаг. Хоёр эзэн, хоёр дүрмийн багц, нэг пакетын зам. Хамгийн сэжигтэй давхаргад таамаглахын оронд түүнийг дарааллаар нь яв.

Ирмэгээс эхэлж дотогш яв

Дараалал тогтмол: нийтийн төгсгөлийн цэг, нөөцийн интерфейс, холбогдсон cloud бодлого, зочны хаяг, процессын сонсогч, локал оролтын дүрэм. Үе шат бүр пакетыг дамжуулах эсвэл мөрдөн шалгалтыг дуусгадаг, тиймээс зочноос эхлэх нь хамгийн их цаг алддаг.

Дамжуулсан клиентийн трафик нь тусдаа үе шат бөгөөд туннелийг задалсны дараа шалгадаг. Cloud давхарга зөвхөн гадаад туннелийг хардаг тул холболтыг зөвшөөрч байсан ч дотоод үйлчилгээний хүсэлттэй ямар ч холбоогүй байж болно. Холбогддог боловч дотоод хостод хүрдэггүй туннель нь ихэвчлэн хаалттай порт биш, дамжуулалтыг заадаг.

Зочныг хөндөхөөс өмнө cloud бодлогыг унш

VPN портын оролтын дүрэм, түүний протокол, таны туршилтын клиентэд тохирох эх сурвалжийн хүрээг батал. Дэд сүлжээний хандалтын хяналтын жагсаалтыг ч шалга: өөрийн дүрэм, анхдагч утгатай хоёр дахь шүүлтүүр. Пакет инстанс хүрэхээс өмнө хоёулаа урсгалыг зөвшөөрөх ёстой. Нэгд нь зөвшөөрч, нөгөөд нь татгалзах нь энэ алдааны ердийн хэлбэр.

Хүрээг утга учиртай болтол нарийсга. VPN портыг бүх интернетэд нээх нь батлахад хялбар, хамгаалахад хэцүү, харин нэг хаягт бэхэлсэн дүрэм туршилтын клиент сүлжээ солиход эвдэрдэг. Дүрмийн танигч болон бодлогын эзнийг тэмдэглэ, дараагийн өөрчлөлт хүн хүртэл мөрдөгдөх болтугай.

Эхлээд сонсогч, дараа нь оролтын гинжийг батал

Инстанс дээр VPN процесс таны хүлээж буй хаяг, портод холбогдсон эсэхийг шалга, жишээ нь ss -lntp 'sport = :1194' ашиглан. Зөвхөн 127.0.0.1-д холбогдсон демон локал клиентүүдийг хүлээж авдаг ба туннелээр юу ч хүлээж авдаггүй, энэ нь гаднаас яг шүүгдсэн порт мэт харагдана.

Дараа нь локал дүрмүүдийг тэдгээрийг өөрчлөхөд ашиглах синтаксээр унш, жишээ нь iptables -S INPUT эсвэл nft list chain inet filter input. Файлд бичигдсэн боловч хэзээ ч ачаалагдаагүй дүрэм, эсвэл тохирох зөвшөөрөлгүй анхдагч хаялт пакетуудыг чимээгүй хаядаг. Дамжуулдаг гарц бол дамжуулалт болон буцах замын тохиргоог ч шалга. Инстанс руу хаяглагдаагүй, харин түүгээр чиглүүлэгдсэн пакетуудад юу тохиолдохыг тэдгээр шийддэг.

Нэг давхаргад төлөвтэй, дараагийнх нь төлөвгүй

Аюулгүй байдлын бүлгүүд зөвшөөрсөн урсгалуудаа санаж, хариунуудыг буцааж нэвтрүүлдэг. Дэд сүлжээний хандалтын хяналтын жагсаалт болон олон хост firewall нь ийм төлөв хадгалдаггүй тул зөвхөн гарах чиглэлийг хамарсан дүрэм хүсэлтийг дамжуулж, хариуг хаядаг. Хоёр дахь давхаргын дүрмийг уншилгүйгээр давхаргуудын хооронд буцах трафикийн таамаглалыг хэзээ ч бүү зөө (second layer's rule).

Бүртгэл дэх дүрэм бүрийг уншихаас илүү тоолуурууд үүнийг хурдан шийднэ. Өсөж буй тоолуур пакет тэнд хүрч, тэнд хаягдсаныг илэрхийлдэг бол тэг дээр хөлдсөн тоолуур тэр тийшээ хэзээ ч хүрээгүйг илэрхийлнэ; дүрмүүдийг тоолууртай ачаалсан үед iptables -vnL INPUT болон nft list ruleset тэдгээр тоог харуулна.

Амьд сессээр биш, шинэ сессээр турш

Харагдацыг харьцуулахдаа эх сүлжээ болон туршилтын профайлыг хөндөхгүй байж, өөрчлөлт бүрийн дараа шинэ холболт нээ. 443 дээрх вэб консолд хүрэх нь VPN демон 1194-д холбогдсон эсэхийг юу ч хэлэхгүй, тиймээс хэрэгтэй портыг турш. Одоо байгаа сесс энд хамгийн муу гэрч. Шинэ нэвтрэлт бүрийг татгалзаж байх хооронд тэр ажилласаар байна.

Алсын бодлогыг засахын өмнө өөрчилж буй замаасаа хамааралгүй буцах замтай байгаарай. Дараа нь VPN туршилтын хажууд хоёр дахь админ сесс нээ: өмнө нь тогтоосон сесс шинэ сессийг хаадаг дүрмээс илүү уддаг. Хоёр бодлогын эзнийг тэмдэглэ, ямар ч дахин бүтээлт замын хагасыг сэргээхгүй байг; хэрэв хоёр давхарга санал нийлж, туннель пак бүтэлгүйтвэл зочны интерфейс дээр барьж, клиентийн үнэхээр ашиглаж буй хаяг, портыг шалга.