Menjalankan VPN dan laman web pada satu hos tanpa perlanggaran

Apabila anda berkongsi satu hos antara laman awam dan VPN, anda mewarisi dua soalan, bukan satu: apa mendengar di mana, dan siapa mengesahkan siapa. Jawab kedua-duanya sebelum menyentuh fail konfigurasi, kerana nilai lalai salah dengan cara yang hanya muncul di bawah beban. Halaman yang dimuatkan melalui HTTPS membuktikan pendengar web menjawab dan tiada apa tentang pendengar rakan. Yang berikut ialah susunan keputusan yang menghalang kedua-duanya daripada saling memakan.

Tentukan apa yang mendengar pada alamat dan pengangkutan mana

Tulis jadual dengan tiga lajur, alamat, pengangkutan dan port, serta satu baris bagi setiap perkhidmatan, termasuk antara muka pentadbiran. TCP 443 untuk laman dan UDP 443 untuk VPN bukan perlanggaran walaupun nombornya sama, kerana pengangkutannya berbeza. Dua perkhidmatan pada alamat, pengangkutan dan port yang sama memerlukan susunan yang didokumenkan pelaksanaan, bukan yang anda cipta semasa gangguan. Jadual itu juga artifak yang menjadikan perubahan seterusnya boleh disemak.

Alamat berasingan atau port kedua menjadikan pemilikan kelihatan dalam tangkapan paket, dan itu lebih bernilai daripada keanggunan. Sesetengah pelaksanaan VPN menyokong perkongsian port dengan pelayan web, tetapi mekanismenya khusus: daemon memeriksa bait pertama dan memajukan trafik yang bukan protokolnya sendiri. Proksi songsang HTTP generik tidak melakukannya, dan menulis semula pengepala tidak akan membuatkannya memahami jabat tangan terowong yang disulitkan. Baca nota penggunaan protokol itu, seperti dokumentasi pendengar OpenVPN, dan ikuti susunan yang diterangkannya.

Tentukan identiti mana milik perkhidmatan mana

Sijil pelayar dan kelayakan rakan VPN ialah objek berbeza dengan model kepercayaan berbeza. Sijil web disahkan oleh pihak berkuasa awam dan menamakan nama hos, manakala kelayakan rakan mengesahkan peranti atau pengguna kepada penumpu dan mungkin ditandatangani sendiri atau dikeluarkan secara dalaman. Menggunakan satu sebagai yang lain berfungsi dalam kes sempit dan jarang berbaloi dengan gandingan itu. Mematikan pengesahan supaya sijil dikongsi sesuai bukan rancangan pemisahan; ia membuang pemeriksaan yang memberi makna kepada kelayakan itu.

Kekalkan kedua-dua storan bebas dan catat pihak berkuasa mana yang mengeluarkan setiap satu. Apabila satu diputar, yang lain tidak sepatutnya perlu berubah, dan jika perlu, gandingan itulah yang perlu dibaiki.

Tentukan di mana pentadbiran tinggal

Antara muka pentadbiran VPN tergolong dalam laluan pengurusan, tidak pernah pada pendengar awam, walaupun hos sudah menyediakan internet. Pelayan web pada 443 tidak bermakna konsol rakan harus boleh dicapai dari mana-mana sahaja, dan konsol biasanya sasaran bernilai lebih tinggi. Ikatkannya pada alamat gelung balik atau pengurusan, hadkannya mengikut sumber, dan kekalkan laluan pemulihan yang tidak bergantung pada terowong berada di atas. Laluan pemulihan penting kerana kegagalan biasa ialah mengunci diri di luar semasa membaiki kunci itu.

Tulis peraturan tembok api yang sempit, satu bagi setiap pendengar, dan namakan antara muka atau akaun perkhidmatan di mana platform menyokongnya. Peraturan luas yang membuka hos kerana laman memerlukan 443 ialah cara antara muka pentadbiran berakhir dalam indeks pengimbas.

Semak peraturan itu terhadap jadual pendengar setiap kali perkhidmatan ditambah. Semakan itu murah dan ia menangkap peraturan yang seseorang tambah pada pukul dua pagi.

Tentukan apa yang perlu dilakukan apabila kedua-duanya bersaing

Berkongsi hos bermakna berkongsi CPU, memori, deskriptor fail dan lebar jalur, dan sumber yang dipertikaikan tidak selalunya yang jelas. Laman yang sibuk boleh memenuhi jadual sambungan, menghabiskan slot pekerja, atau menolak baris gilir cakera cukup kuat sehingga pembalakan VPN tersekat. Perhatikan penggunaan setiap perkhidmatan dan bukan jumlah hos, kerana purata menyembunyikan proses mana yang kelaparan. Jika satu beban kerja berulang kali mengganggu yang lain, asingkan mereka dan bukan menala di sekitar gejalanya.

Pengasingan boleh berupa kontena, had cgroup, baris gilir berasingan atau hos kedua, dan pilihan yang betul bergantung pada sumber mana yang bersaing. Perubahan port tidak membaiki apa-apa di sini, dan instans yang lebih besar tidak membaiki apa-apa jika hadnya satu baris gilir yang tepu. Putuskan dengan ukuran: namakan sumber itu, bebankannya, kemudian pilih pengasingan terkecil yang menghapuskan persaingan.

Sahkan dari luar, kemudian sekali lagi selepas mula semula

Uji daripada peranti yang bukan pada rangkaian hos itu sendiri: muatkan laman, naikkan terowong, dan capai satu sumber yang memerlukannya. Kemudian mula semula setiap perkhidmatan secara berasingan dan ulangi ujian yang lain, kerana mula semula ialah saat susunan pendengar dikongsi kehilangan urutannya. Jika VPN bermula sebelum pelayan web yang memiliki port dikongsi, mekanisme perkongsian mungkin tidak pernah terpasang, dan gejalanya ialah terowong yang berfungsi semalam. Jadikan kebergantungan itu eksplisit dalam urutan unit.

Kemudian sahkan sempadan: laman menjawab pada portnya, VPN menjawab pada portnya sendiri, dan antara muka pentadbiran hanya menjawab dari laluan pengurusan. Catat keputusan di sebelah jadual pendengar dengan tarikh. Hos yang lulus ketiga-tiga pemeriksaan selepas mula semula ialah hos yang boleh anda serahkan kepada orang lain tanpa taklimat.