Нэг хост дээр VPN болон вэб сайтыг мөргөлдөөнгүй ажиллуулах

Нэг хостыг нийтийн сайт болон VPN хооронд хуваахдаа нэг биш, хоёр асуултыг өвлөнө: юу хаана сонсож байна, хэн хэнийг баталгаажуулж байна. Тохиргооны файлд хүрэхийн өмнө хоёуланд нь хариул, учир нь анхдагч утгууд нь ачааллын үед л илэрдэг байдлаар буруу байдаг. HTTPS-ээр ачаалагддаг хуудас нь вэб сонсогч хариулж байгааг баталж, түншийн сонсогчийн талаар юу ч хэлэхгүй. Дараах нь хоёр нь бие биеэ идэхээс сэргийлдэг шийдвэрийн дараалал юм.

Аль хаяг, тээвэр дээр юу сонсож байгааг шийд

Гурван баганатай хүснэгт бич, хаяг, тээвэр, порт, мөн үйлчилгээ бүрт нэг мөр, удирдлагын интерфейсийг оруулан. Сайтын TCP 443 болон VPN-ийн UDP 443 нь тоо таарч байсан ч мөргөлдөөн биш, учир нь тээвэр өөр. Нэг хаяг, тээвэр, порт дээрх хоёр үйлчилгээнд хэрэгжилт баримтжуулсан зохицуулалт хэрэгтэй, гэмтлийн үед таны зохиосон зүйл биш. Тэр хүснэгт нь дараагийн өөрчлөлтийг хянах боломжтой болгодог артефакт ч юм.

Тусдаа хаяг эсвэл хоёр дахь порт пакет барих үед эзэмшлийг харагдахуйц болгодог бөгөөд энэ нь гоёл чимэглэлээс илүү үнэ цэнэтэй. Зарим VPN хэрэгжилт портыг вэб сервертэй хуваалцахыг дэмждэг, гэхдээ механизм нь тодорхой: демон эхний байтуудыг шалгаж, өөрийн протокол биш урсгалыг дамжуулдаг. Ерөнхий HTTP урвуу прокси үүнийг хийдэггүй бөгөөд толгойг дахин бичих нь шифрлэгдсэн туннелийн гар барилтыг ойлгуулахгүй. Протоколын байршуулалтын тэмдэглэлийг унш, жишээ нь OpenVPN сонсогчийн баримт бичиг, мөн түүний тайлбарласан зохицуулалтыг дага.

Аль таних тэмдэг аль үйлчилгээнд хамаарахыг шийд

Хөтчийн гэрчилгээ болон VPN түншийн итгэмжлэл нь өөр өөр итгэлцийн загвартай өөр өөр объектууд юм. Вэб гэрчилгээг нийтийн байгууллага баталгаажуулж, хостын нэрийг заадаг бол түншийн итгэмжлэл төхөөрөмж эсвэл хэрэглэгчийг төвлөрүүлэгчид баталгаажуулж, өөрөө гарын үсэг зурсан эсвэл дотоодоос олгогдсон байж болно. Нэгийг нөгөөгөөр дахин ашиглах нь нарийн тохиолдолд ажилладаг бөгөөд энэ холболтыг ховор үнэ цэнэтэй. Хуваалцсан гэрчилгээ таарахын тулд шалгалтыг унтраах нь тусгаарлах төлөвлөгөө биш; энэ нь итгэмжлэлд утга өгсөн шалгалтыг арилгадаг.

Хоёр агуулахыг бие даасан байлгаж, аль байгууллага аль нэгийг олгож байгааг бич. Нэг нь эргэх үед нөгөөд нь өөрчлөлт хэрэггүй байх ёстой, хэрэгтэй бол холболтыг засах хэрэгтэй.

Удирдлага хаана амьдардагийг шийд

VPN-ийн удирдлагын интерфейс нь удирдлагын замд байх ёстой, хэзээ ч нийтийн сонсогч дээр биш, хост интернетэд үйлчилж байсан ч. 443 дээрх вэб сервер нь түншүүдийн консол хаанаас ч хүрэх боломжтой байх ёстой гэсэн үг биш бөгөөд консол нь ихэвчлэн илүү үнэ цэнэтэй бай юм. Үүнийг loopback эсвэл удирдлагын хаягт холбож, эх сурвалжаар хязгаарлаж, туннель өргөгдсөн байхаас хамааралгүй сэргээх замыг хадгал. Сэргээх зам чухал, учир нь нийтлэг алдаа нь цоожыг засахдаа өөрийгөө гадаа түгжих явдал юм.

Нарийн галт ханын дүрмийг бич, сонсогч бүрт нэг, платформ дэмждэг газарт интерфейс эсвэл үйлчилгээний бүртгэлийг нэрлэ. Сайтад 443 хэрэгтэй гэж хост нээдэг өргөн дүрмүүд нь удирдлагын интерфейсүүд сканнерийн индексүүдэд орох зам юм.

Үйлчилгээ нэмэгдэх бүрт тэдгээр дүрмийг сонсогчдын хүснэгттэй тулгаж хяна. Хяналт хямд бөгөөд шөнийн хоёр цагт хэн нэгний нэмсэн дүрмийг барина.

Хоёр нь өрсөлдөх үед юу хийхээ шийд

Хост хуваалцах гэдэг нь процессор, санах ой, файлын дескриптор, зурвасын өргөнийг хуваалцах бөгөөд маргаантай нөөц нь үргэлж тодорхой байдаггүй. Ачаалалтай сайт холболтын хүснэгтийг дүүргэж, ажилчинд зориулсан слот дуусгаж, эсвэл дискний дарааллыг VPN бүртгэл зогсох хэмжээнд хүртэл шахаж болно. Хостын нийт дүнгийн оронд үйлчилгээ тус бүрийн хэрэглээг хар, учир нь дундаж нь аль процесс өлсөж байгааг нуудаг. Нэг ажлын ачаалал нөгөөд нь дахин дахин саад болбол шинж тэмдгийн эргэн тойронд тохируулахын оронд тэдгээрийг тусгаарла.

Тусгаарлалт нь контейнер, cgroup хязгаар, тусдаа дараалал эсвэл хоёр дахь хост байж болох бөгөөд зөв сонголт нь аль нөөц өрсөлдөж байгаагаас хамаарна. Портын өөрчлөлт энд юу ч засахгүй, хязгаар нь нэг ханасан дараалал бол илүү том инстанц ч юу ч засахгүй. Хэмжилтээр шийд: нөөцийг нэрлэ, ачаал, дараа нь өрсөлдөөнийг арилгах хамгийн жижиг тусгаарлалыг сонго.

Гаднаас шалга, дараа нь дахин эхлүүлсний дараа дахин

Хостын өөрийн сүлжээнд байхгүй төхөөрөмжөөс турш: сайтыг ачаал, туннелийг өргө, түүнийг шаарддаг нэг нөөцөд хүр. Дараа нь үйлчилгээ бүрийг тус тусад нь дахин эхлүүлж, нөгөө туршилтыг давта, учир нь дахин эхлүүлэх нь хуваалцсан сонсогчийн зохицуулалт дарааллаа алддаг мөч юм. Хэрэв VPN хуваалцсан портыг эзэмшдэг вэб серверээс өмнө эхэлбэл хуваалцах механизм хэзээ ч холбогдохгүй байж болох бөгөөд шинж тэмдэг нь өчигдөр ажиллаж байсан туннель юм. Хамаарлыг нэгжийн дараалалд тодорхой болго.

Дараа нь хилийг баталгаажуул: сайт өөрийн порт дээр хариулна, VPN өөрийн порт дээр хариулна, удирдлагын интерфейс зөвхөн удирдлагын замаас хариулна. Үр дүнг огноотой нь сонсогчдын хүснэгтийн дэргэд бич. Дахин эхлүүлсний дараа гурван шалгалтыг бүгдийг давсан хост бол ямар ч танилцуулгагүйгээр өөр хүнд шилжүүлж болох хост юм.