Firewall awan berbanding firewall hos untuk pelayan VPN

Benarkan port VPN dalam dasar awan dan jabat tangan masih boleh mati pada instans: tetamu menjalankan penapisnya sendiri dan pengikatan pendengarnya sendiri, dan mana-mana satu boleh membuang apa yang telah diluluskan oleh awan. Berlaku juga sebaliknya, apabila peraturan hos membenarkan port dan dasar di atasnya membuangnya dahulu. Dua pemilik, dua set peraturan, satu laluan paket. Ikuti ia mengikut urutan dan bukannya meneka pada lapisan yang paling mencurigakan.

Mulakan di tepi dan bergerak ke dalam

Susunannya tetap: titik akhir awam, antara muka sumber, dasar awan yang dilampirkan, alamat tetamu, pendengar proses, peraturan input tempatan. Setiap peringkat sama ada melalukan paket atau menamatkan siasatan, sebab itu bermula pada tetamu paling banyak membuang masa.

Trafik klien yang diteruskan ialah peringkat berasingan, diperiksa selepas terowong dinyahkapsul. Lapisan awan hanya nampak terowong luar, jadi ia boleh meluluskan sambungan dan masih tiada kaitan dengan permintaan perkhidmatan dalaman. Terowong yang bersambung tetapi tidak sampai ke hos dalaman biasanya menunjukkan penerusan, bukan port tertutup.

Baca dasar awan sebelum menyentuh tetamu

Sahkan peraturan masuk untuk port VPN, protokolnya dan skop sumber yang sepadan dengan klien ujian anda. Semak juga senarai kawalan akses subnet: penapis kedua dengan peraturan dan nilai lalainya sendiri. Kedua-duanya mesti membenarkan aliran sebelum paket sampai ke instans. Benar pada satu dan tolak pada yang lain ialah bentuk biasa pepijat ini.

Sempitkan skop sehingga ia bermakna. Membuka port VPN kepada seluruh internet mudah dibuktikan dan sukar dipertahankan, manakala peraturan yang dipaku pada satu alamat rosak apabila klien ujian anda bertukar rangkaian. Catat pengecam peraturan dan pemilik dasar, supaya perubahan seterusnya boleh dijejaki kepada seseorang.

Sahkan pendengar, kemudian rantai input

Pada instans, periksa sama ada proses VPN terikat pada alamat dan port yang anda jangkakan, contohnya dengan ss -lntp 'sport = :1194'. Daemon yang terikat hanya pada 127.0.0.1 menerima klien tempatan dan tiada apa melalui terowong, yang dari luar kelihatan tepat seperti port yang ditapis.

Kemudian baca peraturan tempatan dalam sintaks yang anda akan gunakan untuk mengubahnya, seperti iptables -S INPUT atau nft list chain inet filter input. Peraturan yang ditulis ke fail tetapi tidak pernah dimuatkan, atau penolakan lalai tanpa kebenaran yang sepadan, membuang paket secara senyap. Untuk gerbang yang meneruskan, semak juga tetapan penerusan dan laluan songsang. Itulah yang menentukan apa yang berlaku kepada paket yang dihalakan melalui instans dan bukan dialamatkan kepadanya.

Stateful dalam satu lapisan, stateless dalam lapisan seterusnya

Kumpulan keselamatan mengingati aliran yang mereka benarkan dan membenarkan balasan masuk semula. Senarai kawalan akses subnet dan banyak firewall hos tidak menyimpan keadaan sedemikian, jadi peraturan yang hanya meliputi arah keluar melalukan permintaan dan membuang balasan. Jangan sekali-kali membawa andaian tentang trafik balik antara lapisan tanpa membaca peraturan lapisan kedua (second layer's rule).

Pembilang menyelesaikannya lebih cepat daripada membaca setiap peraturan dalam akaun. Pembilang yang naik bermakna paket tiba dan dibuang di situ, manakala yang beku pada sifar bermakna ia tidak pernah sampai sejauh itu; iptables -vnL INPUT dan nft list ruleset menunjukkan angka itu apabila peraturan dimuatkan dengan pembilang.

Uji dengan sesi baharu, bukan sesi hidup

Biarkan rangkaian sumber dan profil ujian seperti adanya semasa membandingkan paparan, dan buka sambungan baharu selepas setiap perubahan. Mencapai konsol web pada 443 tidak mengatakan apa-apa tentang sama ada daemon VPN terikat pada 1194, jadi uji port yang anda perlukan. Sesi sedia ada ialah saksi terburuk di sini. Ia terus berfungsi manakala setiap log masuk baharu ditolak.

Sebelum menyunting dasar jauh, pastikan ada jalan balik yang tidak bergantung pada laluan yang anda ubah. Kemudian buka sesi pentadbiran kedua di samping ujian VPN: sesi yang dibuka lebih awal boleh hidup lebih lama daripada peraturan yang menyekat yang baharu. Catat pemilik kedua-dua dasar supaya tiada pembinaan semula memulihkan separuh laluan; jika kedua-dua lapisan bersetuju dan terowong masih gagal, tangkap pada antara muka tetamu dan periksa alamat dan port yang benar-benar digunakan oleh klien.