VPN-ийн үүлэн аюулгүй байдлын бүлэг: сонсогчийг нээ, бүгдийг биш

VPN сервер ажиллаж байна, клиент хугацаа хэтэрч байна, эхний хариу үйлдэл нь аюулгүй байдлын бүлэгт бүгдийг зөвшөөрсөн дүрэм нэмэх юм. Заримдаа үүнээс ажилладаг бөгөөд энэ нь хамгийн муу үр дүн, учир нь одоо аль хил хязгаар үнэхээр хаагдсаныг хэн ч мэдэхгүй. Клиент ба демоны хооронд дөрвөн тусдаа шүүлтүүр байдаг бөгөөд тэдгээрийн зөвхөн нэг нь аюулгүй байдлын бүлэг.

Дүрмээс өмнө протоколыг нэрлэ

Дүрэм гэдэг нь протокол, портын хүрээ, эх сурвалж юм. WireGuard UDP дээр сонсдог, ихэвчлэн 51820. OpenVPN тохиргооноос хамаарч ихэвчлэн UDP эсвэл TCP 1194 байна. IPsec-д UDP 500 ба 4500 дээр IKE солилцоо, мөн ESP протокол өөрөө хэрэгтэй бөгөөд энэ нь порт биш протоколын дугаар юм. Бусад дүрэм TCP учраас TCP гэж таамаглах нь зөв харагдах боловч юутай ч тохирохгүй дүрэмд хүргэдэг.

Сонсогчийг ажиллаж буй үйлчилгээнээс унш, заавраас биш. Нэг хаягт холбогдсон демон өөр хаяг руу ирэх урсгалыг хүлээж авахгүй.

Эх сурвалжийг бүх интернетийн оронд дизайны зөвшөөрсөн клиентийн хүрээгээр хязгаарла.

Аюулгүй байдлын бүлгүүд төлөв хадгалдаг; дэд сүлжээний ACL хадгалдаггүй

Аюулгүй байдлын бүлгүүд төлөв хадгалдаг бөгөөд зөвхөн зөвшөөрдөг: зөвшөөрөгдсөн орж ирэх урсгал хариугаа автоматаар авдаг, бодох ёстой татгалзах дүрэм байхгүй. Дэд сүлжээний ACL төлөвгүй бөгөөд хоёр чиглэлд үнэлэгддэг тул тохирох гарч байгаа түр хүрээгүй орж ирэх зөвшөөрөл бүтэлгүйтсээр байна. Энэ ялгаа нь консол дээр зөв харагдах олон дүрмийг тайлбарладаг.

Ажиллаж буй төгсгөлийн цэгт аль бодлого холбогдсоныг ч баталгаажуул, учир нь нэг инстанс нэгээс олон бүлэгтэй байж болох бөгөөд холбогдоогүй бүлгийн дүрэм юу ч өөрчлөхгүй.

Үр дүнтэй бодлого нь холбогдсон зүйлсийн нэгдэл, таны зассан файл биш.

Хост файрвол нь тусдаа хил

Үүлэн бодлого урсгалыг сүлжээний интерфейс хүртэл нэвтрүүлж, дараа нь үйлдлийн систем демон үүнийг харах эсэхийг шийднэ. Анхдагч татгалзах бодлоготой хост файрвол нь аюулгүй байдлын бүлгийн зөвшөөрсөн пакетыг хаях бөгөөд үүлэн консол ямар ч татгалзал харуулахгүй, учир нь түүнд хэзээ ч санал байгаагүй. Хоёуланг нь пакет тэдэнтэй таарах дарааллаар шалга.

Хэрэв хост түгээлтийн файрволын урд хэсгийг ашигладаг бол профайлын нэр биш, доод дүрмүүдийг баталгаажуул, учир нь профайл идэвхтэй байхад порт хаалттай байж болно.

Интерфейс дээрх бичлэг аль хил пакетыг хаясныг хэлнэ.

Сонсогчийг зөвшөөрөх нь клиентүүдийг чиглүүлэх биш

Клиентийн урсгалыг дамжуулдаг VPN гарц нээлттэй портоос илүү зүйл шаарддаг. IP дамжуулалт, туннелийн интерфейсээс зорилтот сүлжээ рүү урсгалыг зөвшөөрөх бодлого, мөн ихэвчлэн интерфейс дээр унтраасан эх-зорилтын шалгалт хэрэгтэй бөгөөд платформ өөрт нь хаяглаагүй урсгалыг хаяхгүй байх ёстой. Эдгээрийн алийг нь ч сонсогчийн дүрэм үүсгэдэггүй.

Энд ажилладаг гар барилт ба эвдэрсэн өгөгдлийн зам салж, тиймээс туннелийн төлөв эрүүл харагдах боловч юу ч ачаалагдахгүй байж болно.

Чиглүүлэлтийг өөрийн шалгалттай тусдаа өөрчлөлт болгон зас, дамжуулдаг гарцад зорилтыг зөвшөөрөх гарах бодлого ч хэрэгтэйг тэмдэглэ.

Буцах замаа үлдээ, дараа нь дүрмийг нарийсга

Алсын файрволын бодлогыг өөрчлөхөөс өмнө бие даасан удирдлагын зам байгааг баталгаажуул, жишээ нь сессийн менежер, цуваа консол эсвэл зурвасаас гадуурх сүлжээ. Хэрэв цорын ганц удирдлагын зам таны засаж буй дүрмээр дамждаг бол сэргээх зам байхгүй. Дараа нь нарийн дүрмийг хэрэглэ, бодит клиентээс туршиж, оролдлогыг серверийн талын нотолгоотой холбо. Нэг машин дээрх өөр үйлчилгээний хариу сонсогчид хүрсэн гэдгийн нотолгоо биш.

Нарийн зөвшөөрөл ажилламагц аливаа туршилтын өргөн зөвшөөрлийг хасч, дүрэм яагаад байгааг бич. AWS аюулгүй байдлын бүлгүүдийн төлөв хадгалдаг зан төлөвийг баримтжуулдаг бөгөөд хэн нэгэн товчлолын хувьд өргөн хүрээ санал болгоход яг тэр баримт бичгийг иш татах ёстой.

Холболтыг ч баримтжуул, эс бөгөөс орлуулах интерфейс бодлогыг чимээгүй алдана.