Hadkan pendengar VPN kepada antara muka yang anda maksudkan

Perkhidmatan VPN boleh dicapai dari mana-mana sahaja soketnya terikat dan firewallnya membenarkan. Itu dua keputusan berasingan, dan orang biasanya hanya membuat satu daripadanya. Membaca pendengar sebenar mengambil masa sepuluh saat dan menyelesaikan soalan yang tidak dapat diselesaikan dengan tekaan. Mulakan di situ, kemudian tukar satu kawalan pada satu masa.

Semua di bawah menganggap anda boleh menjalankan arahan pada hos dengan root atau sudo.

Baca soket sebelum mengubah apa-apa

Pada Linux, ss -lunp menyenaraikan pendengar UDP dengan alamat tempatan, port dan prosesnya, dan ss -ltnp melakukan perkara yang sama untuk TCP. Cari port VPN dan baca lajur alamat dengan teliti. 0.0.0.0:51820 dan [::]:51820 bermaksud setiap antara muka, manakala 10.0.0.5:51820 bermaksud satu alamat pada satu antara muka. Manual ss mendokumenkan lajur jika output tidak dikenali. Jika nama proses tiada, jalankan arahan yang sama dengan sudo, kerana lajur pemilik memerlukan keistimewaan.

Catat alamat itu. Itulah fakta yang menjadi asas kepada bahagian lain panduan ini.

Ikat kepada alamat, bukan kepada hasrat

OpenVPN mengikat pendengar kepada alamat tertentu dengan direktif local, dan itulah cara yang disokong untuk mengehadkannya pada peringkat proses. Bukan setiap pelaksanaan menawarkan setara, dan protokol tanpa pilihan ikatan tidak boleh disempitkan dengan cara ini. Jika milik anda tiada, firewall ialah satu-satunya kawalan anda, dan nota penggunaan harus menyatakannya dengan jelas. Pada hos dengan beberapa alamat, ikat kepada alamat yang menghadap terowong; mengikat kepada alamat yang terapung biasanya satu kesilapan.

Perkhidmatan yang perlu bertahan dengan perubahan alamat memerlukan pelan untuk ikatan lapuk, bukan sekadar baris konfigurasi.

Semak keluarga alamat secara berasingan

IPv4 dan IPv6 ialah soket berasingan. Proses yang terikat kepada 0.0.0.0 mungkin masih menerima IPv6 melalui soket dua tindanan, atau mungkin tidak, bergantung pada pilihan soket dan lalai platform. Membaca hanya baris IPv4 telah memperdaya lebih daripada satu semakan penggunaan. Senaraikan kedua-dua keluarga sebelum membuat kesimpulan bahawa pendengar itu sempit.

Jika IPv6 bukan sebahagian daripada reka bentuk, melumpuhkannya pada peringkat soket lebih bersih daripada berharap firewall meliputinya. Itu keputusan dasar, jadi catatkannya bersama pilihan antara muka yang lain.

Lapisi firewall di atas ikatan

Ikatan sempit tidak menggantikan peraturan firewall, dan peraturan firewall tidak menyempitkan ikatan wildcard. Gunakan kedua-duanya: ikat di tempat pelaksanaan menyokongnya, kemudian benarkan port hanya daripada sumber yang sepatutnya mencapainya. Kumpulan keselamatan awan berada di hadapan firewall hos, jadi semak kedua-duanya apabila laluan melintasi sempadan VPC. Peraturan berkesan ialah persilangan kedua-duanya, dan setiap lapisan hanya boleh mengurangkan kebolehcapaian.

Uji dari sumber yang dibenarkan dan dari sumber yang sengaja dikecualikan. Sambungan dari localhost tidak membuktikan apa-apa tentang sempadan awam.

Catat apa yang anda pilih

Catat alamat yang terikat, antara muka yang memilikinya, peraturan firewall dan tujuannya. NIC pengganti atau alamat awan yang diperuntukkan semula boleh mengubah pendedahan tanpa sesiapa menyunting profil. Tarikhkan nota itu, kerana alamat awan bergerak antara semakan lebih kerap daripada yang dijangka orang.

Nota itulah yang menjadikan semakan seterusnya satu perbandingan dan bukannya projek arkeologi.