VPN श्रोत्याला तुम्ही हेतू असलेल्या इंटरफेसपर्यंत मर्यादित करा

VPN सेवा तिथून पोहोचण्यायोग्य असते जिथे तिचे सॉकेट बांधलेले आहे आणि तिचा फायरवॉल परवानगी देतो। हे दोन वेगळे निर्णय आहेत, आणि लोक सहसा त्यापैकी एकच घेतात। प्रत्यक्ष श्रोता वाचण्यास दहा सेकंद लागतात आणि अंदाजाने सुटू न शकणारा प्रश्न सुटतो। तिथून सुरुवात करा, नंतर एका वेळी एक नियंत्रण बदला।

खालील सर्व गोष्टी असे गृहीत धरतात की तुम्ही होस्टवर root किंवा sudo ने आदेश चालवू शकता।

काहीही बदलण्यापूर्वी सॉकेट वाचा

Linux वर, ss -lunp UDP श्रोत्यांना त्यांच्या स्थानिक पत्ता, पोर्ट आणि प्रक्रियेसह सूचीबद्ध करते, आणि ss -ltnp TCP साठी तेच करते। VPN चा पोर्ट शोधा आणि पत्ता स्तंभ काळजीपूर्वक वाचा। 0.0.0.0:51820 आणि [::]:51820 म्हणजे प्रत्येक इंटरफेस, तर 10.0.0.5:51820 म्हणजे एका इंटरफेसवर एक पत्ता। आउटपुट अपरिचित असल्यास ss मॅन्युअल स्तंभांची नोंद करते। प्रक्रियेचे नाव नसल्यास तोच आदेश sudo ने चालवा, कारण मालक स्तंभाला विशेषाधिकार आवश्यक आहे।

पत्ता लिहून ठेवा। ही अशी वस्तुस्थिती आहे जिच्यावर या मार्गदर्शकाचा उर्वरित भाग अवलंबून आहे।

इच्छेवर नाही, पत्त्यावर बांधा

OpenVPN त्याच्या local सूचनेने श्रोत्याला विशिष्ट पत्त्यावर बांधते, आणि प्रक्रिया स्तरावर ते मर्यादित करण्याचा हा समर्थित मार्ग आहे। प्रत्येक अंमलबजावणी समतुल्य देत नाही, आणि बाइंड पर्याय नसलेल्या प्रोटोकॉलला या पद्धतीने अरुंद करता येत नाही। तुमच्याकडे एकही नसल्यास, फायरवॉल हे तुमचे एकमेव नियंत्रण आहे, आणि तैनाती नोट्सने ते स्पष्टपणे सांगावे। अनेक पत्ते असलेल्या होस्टवर, बोगद्याकडे पाहणाऱ्या पत्त्यावर बांधा; तरंगत्या पत्त्यावर बांधणे सहसा चूक असते।

पत्ता बदल टिकून राहणाऱ्या सेवेला जुन्या बंधनासाठी योजना आवश्यक आहे, केवळ कॉन्फिगरेशन ओळ नाही।

पत्ता कुटुंब स्वतंत्रपणे तपासा

IPv4 आणि IPv6 वेगवेगळे सॉकेट आहेत। 0.0.0.0 वर बांधलेली प्रक्रिया दुहेरी-स्टॅक सॉकेटद्वारे अजूनही IPv6 स्वीकारू शकते, किंवा नाहीही; हे सॉकेट पर्याय आणि प्लॅटफॉर्म डीफॉल्टवर अवलंबून आहे। फक्त IPv4 ओळ वाचल्याने एकापेक्षा जास्त तैनाती पुनरावलोकने फसली आहेत। श्रोता अरुंद आहे असा निष्कर्ष काढण्यापूर्वी दोन्ही कुटुंबे सूचीबद्ध करा।

IPv6 रचनेचा भाग नसल्यास, फायरवॉल ते झाकेल अशी आशा करण्यापेक्षा सॉकेट स्तरावर ते अक्षम करणे स्वच्छ आहे। हा धोरण निर्णय आहे, म्हणून इंटरफेस निवडींसह तो नोंदवा।

बंधनावर फायरवॉलचा थर द्या

अरुंद बंधन फायरवॉल नियमाची जागा घेत नाही, आणि फायरवॉल नियम wildcard बंधन अरुंद करत नाही। दोन्ही वापरा: अंमलबजावणी समर्थन देते तिथे बांधा, नंतर पोर्टला फक्त तिथे पोहोचायला हवे असलेल्या स्रोतांकडून परवानगी द्या। क्लाउड सुरक्षा गट होस्ट फायरवॉलच्या समोर असतात, म्हणून मार्ग VPC सीमा ओलांडतो तेव्हा दोन्ही तपासा। प्रभावी नियम दोन्हींचा छेद आहे, आणि प्रत्येक स्तर फक्त पोहोच कमी करू शकतो।

परवानगी असलेल्या स्रोतातून आणि जाणूनबुजून वगळलेल्या स्रोतातून चाचणी करा। localhost वरून कनेक्शन सार्वजनिक सीमेबद्दल काहीही सिद्ध करत नाही।

तुम्ही काय निवडले ते नोंदवा

बांधलेला पत्ता, त्याचा मालक इंटरफेस, फायरवॉल नियम आणि त्याचा उद्देश लिहा। बदललेला NIC किंवा पुनर्नियुक्त क्लाउड पत्ता कोणीही प्रोफाइल संपादित न करता एक्सपोजर बदलू शकतो। नोंदीवर तारीख टाका, कारण क्लाउड पत्ते पुनरावलोकनांदरम्यान लोक अपेक्षा करतात त्यापेक्षा जास्त वेळा हलतात।

तीच नोंद पुढील पुनरावलोकनाला पुरातत्त्व प्रकल्पाऐवजी तुलना बनवते।