एका होस्टवर विसंवाद न होता VPN आणि वेबसाइट चालवणे

एक होस्ट सार्वजनिक साइट आणि VPN मध्ये वाटून घेतल्यास तुम्हाला एक नाही तर दोन प्रश्न वारसा मिळतात: काय कुठे ऐकते, आणि कोण कोणाची प्रमाणित करते। कॉन्फिगरेशन फाइलला स्पर्श करण्यापूर्वी दोन्हींची उत्तरे द्या, कारण डीफॉल्ट मूल्ये लोडखालीच दिसणाऱ्या पद्धतीने चुकीची आहेत। HTTPS ने लोड होणारे पृष्ठ वेब श्रोता उत्तर देतो हे सिद्ध करते आणि सहकारी श्रोत्याबद्दल काहीही सांगत नाही। पुढे येणारी निर्णयांची क्रमवारी दोन्हींना एकमेकांना खाऊ न देण्यासाठी आहे।

कोणत्या पत्त्यावर आणि वाहतुकीवर काय ऐकते ते ठरवा

तीन स्तंभांचा तक्ता लिहा, पत्ता, वाहतूक आणि पोर्ट, आणि प्रत्येक सेवेसाठी एक ओळ, प्रशासकीय इंटरफेससह। साइटसाठी TCP 443 आणि VPN साठी UDP 443 हा संघर्ष नाही, जरी संख्या जुळल्या तरी, कारण वाहतूक वेगळी आहे। एकाच पत्ता, वाहतूक आणि पोर्टवरील दोन सेवांना अशी व्यवस्था हवी जी अंमलबजावणी दस्तऐवजीकरण करते, बिघाडाच्या वेळी तुम्ही शोधून काढता ती नाही। तो तक्ता पुढील बदल पुनरावलोकनयोग्य करणारे कलाकृतीही आहे।

वेगळे पत्ते किंवा दुसरा पोर्ट पॅकेट कॅप्चरमध्ये मालकी दृश्यमान करतात, आणि ते सौंदर्यापेक्षा जास्त मौल्यवान आहे। काही VPN अंमलबजावणी वेब सर्व्हरसोबत पोर्ट सामायिक करण्यास समर्थन देतात, पण यंत्रणा विशिष्ट आहे: डेमन पहिले बाइट तपासतो आणि स्वतःचा प्रोटोकॉल नसलेला रहदारी पुढे पाठवतो। सामान्य HTTP रिव्हर्स प्रॉक्सी तसे करत नाही, आणि हेडर पुन्हा लिहिल्याने एन्क्रिप्टेड बोगद्याचे हस्तांदोलन त्याला समजणार नाही। प्रोटोकॉलच्या उपयोजन टिपा वाचा, जसे की OpenVPN श्रोता दस्तऐवजीकरण, आणि ते वर्णन करते त्या व्यवस्थेचे पालन करा।

कोणती ओळख कोणत्या सेवेची आहे ते ठरवा

ब्राउझर प्रमाणपत्र आणि VPN सहकारी क्रेडेन्शियल वेगळ्या विश्वास मॉडेलांसह वेगळ्या वस्तू आहेत। वेब प्रमाणपत्र सार्वजनिक प्राधिकरणाद्वारे सत्यापित केले जाते आणि होस्टनाव सांगते, तर सहकारी क्रेडेन्शियल उपकरण किंवा वापरकर्त्याची केंद्रित्राकडे प्रमाणित करते आणि स्व-स्वाक्षरीत किंवा अंतर्गत जारी केलेले असू शकते। एकाला दुसऱ्यासारखे पुनर्वापर करणे अरुंद प्रकरणांमध्ये चालते आणि त्या जोडणीचे क्वचितच मूल्य असते। सामायिक प्रमाणपत्र जुळावे म्हणून पडताळणी बंद करणे ही विभाजन योजना नाही; ते क्रेडेन्शियलला अर्थ देणारी तपासणी काढून टाकते।

दोन्ही भांडारे स्वतंत्र ठेवा आणि कोणते प्राधिकरण प्रत्येक जारी करते ते लिहा। एक फिरवले जाते तेव्हा दुसऱ्याला बदलाची गरज नसावी, आणि असल्यास जोडणीच दुरुस्त करण्याची गोष्ट आहे।

प्रशासन कुठे राहते ते ठरवा

VPN चा प्रशासकीय इंटरफेस व्यवस्थापन मार्गावर असावा, कधीही सार्वजनिक श्रोत्यावर नाही, होस्ट आधीच इंटरनेटला सेवा देत असला तरी। 443 वर वेब सर्व्हर म्हणजे सहकाऱ्यांचा कन्सोल कुठूनही पोहोचण्यायोग्य असावा असा अर्थ नाही, आणि कन्सोल सहसा जास्त मूल्याचे लक्ष्य असते। तो लूपबॅक किंवा व्यवस्थापन पत्त्याला बांधा, स्रोतानुसार मर्यादित करा, आणि बोगदा सुरू असण्यावर अवलंबून नसलेला पुनर्प्राप्ती मार्ग ठेवा। पुनर्प्राप्ती मार्ग महत्त्वाचा आहे कारण सामान्य अपयश म्हणजे कुलूप दुरुस्त करताना स्वतःला बाहेर कुलूपबंद करणे।

अरुंद फायरवॉल नियम लिहा, प्रत्येक श्रोत्यासाठी एक, आणि प्लॅटफॉर्मला समर्थन असल्यास इंटरफेस किंवा सेवा खात्याचे नाव द्या। साइटला 443 हवे म्हणून होस्ट उघडणारे रुंद नियम हेच प्रशासकीय इंटरफेस स्कॅनर निर्देशिकांमध्ये पोहोचण्याचे मार्ग आहेत।

सेवा जोडली जाताच ते नियम श्रोते तक्त्याशी तुलना करून पुनरावलोकन करा। पुनरावलोकन स्वस्त आहे आणि रात्री दोन वाजता कोणी जोडलेला नियम ते पकडते।

दोन्ही स्पर्धा करतात तेव्हा काय करायचे ते ठरवा

होस्ट सामायिक करणे म्हणजे CPU, मेमरी, फाइल डिस्क्रिप्टर आणि बँडविड्थ सामायिक करणे, आणि विवादित संसाधन नेहमी स्पष्ट असते असे नाही। व्यस्त साइट कनेक्शन तक्ता भरू शकते, कामगार स्लॉट संपवू शकते, किंवा डिस्क रांग इतकी दाबू शकते की VPN नोंदणी थांबते। होस्टच्या एकूण रकमांऐवजी प्रति सेवा वापर पाहा, कारण सरासरी कोणती प्रक्रिया उपाशी आहे हे लपवते। एखादा कामाचा भार दुसऱ्याला वारंवार अडथळा आणत असेल, तर लक्षणाभोवती ट्यून करण्याऐवजी त्यांना वेगळे करा।

वेगळे करणे कंटेनर, cgroup मर्यादा, वेगळी रांग किंवा दुसरे होस्ट असू शकते, आणि योग्य निवड कोणते संसाधन स्पर्धा करत आहे यावर अवलंबून आहे। पोर्ट बदल येथे काहीही सुधारत नाही, आणि मर्यादा एक संतृप्त रांग असेल तर मोठा इन्स्टन्सही काहीही सुधारत नाही। मापनाने ठरवा: संसाधनाचे नाव द्या, ते लोड करा, नंतर स्पर्धा काढून टाकणारे सर्वात लहान वेगळे करणे निवडा।

बाहेरून सत्यापित करा, नंतर पुन्हा सुरू केल्यानंतर पुन्हा

होस्टच्या स्वतःच्या नेटवर्कवर नसलेल्या उपकरणावरून चाचणी करा: साइट लोड करा, बोगदा वर करा, आणि ती आवश्यक असणाऱ्या एका संसाधनापर्यंत पोहोचा। नंतर प्रत्येक सेवा स्वतंत्रपणे पुन्हा सुरू करा आणि दुसरी चाचणी पुन्हा करा, कारण पुन्हा सुरू करणे म्हणजे सामायिक श्रोता व्यवस्था तिचा क्रम गमावते तो क्षण। VPN सामायिक पोर्टचा मालक असलेल्या वेब सर्व्हरपूर्वी सुरू झाला, तर सामायिकरण यंत्रणा कधीही जोडली जाऊ शकत नाही, आणि लक्षण म्हणजे काल चाललेला बोगदा। युनिट क्रमात अवलंबित्व स्पष्ट करा।

नंतर सीमा निश्चित करा: साइट तिच्या पोर्टवर उत्तर देते, VPN त्याच्या स्वतःच्या पोर्टवर उत्तर देते, आणि प्रशासकीय इंटरफेस केवळ व्यवस्थापन मार्गावरून उत्तर देतो। तारखेसह श्रोते तक्त्याजवळ निकाल नोंदवा। पुन्हा सुरू केल्यानंतर तीनही तपासण्या उत्तीर्ण होणारा होस्ट म्हणजे ब्रीफिंगशिवाय दुसऱ्याकडे सुपूर्द करता येणारा होस्ट।