Tmexxi VPN u sit web fuq ospit wieħed mingħajr kolliżjonijiet

Meta taqsam ospit wieħed bejn sit pubbliku u VPN, inti tissellef żewġ mistoqsijiet, mhux wieħed: x'jisma' fejn, u min jawtentika lil min. Wieġeb it-tnejn qabel ma tmiss file ta' konfigurazzjoni, għaliex il-valuri awtomatiċi huma ħżiena b'modi li jidhru biss taħt tagħbija. Paġna li tgħabbi permezz ta' HTTPS turi li s-semmiegħa tal-web twieġeb u xejn dwar is-semmiegħa tal-peers. Dan li ġej huwa ordni ta' deċiżjonijiet li jżomm lit-tnejn milli jieklu lil xulxin.

Iddeċiedi x'jisma' fuq liema indirizz u trasport

Ikteb tabella b'tliet kolonni, indirizz, trasport u port, u ringiela waħda għal kull servizz, inkluża l-interface amministrattiva. TCP 443 għas-sit u UDP 443 għall-VPN mhumiex kolliżjoni anke meta n-numri jaqblu, għaliex it-trasport hu differenti. Żewġ servizzi fuq l-istess indirizz, trasport u port jeħtieġu arranġament li l-implimentazzjoni tiddokumenta, mhux wieħed li taħseb waqt waqfa. Dik it-tabella hija wkoll l-artefatt li jagħmel il-bidla li jmiss reviżabbli.

Indirizzi separati jew it-tieni port jagħmlu s-sjieda viżibbli fi qbid ta' pakketti, u dan jiswa aktar mill-eleganza. Xi implimentazzjonijiet tal-VPN jappoġġjaw il-qsim ta' port ma' server web, iżda l-mekkaniżmu hu speċifiku: id-daemon jeżamina l-ewwel bytes u jgħaddi traffiku li mhuwiex il-protokoll tiegħu. Proxy rivers ġeneriku għall-HTTP ma jagħmilx hekk, u li terġa' tikteb l-intestaturi mhux se tagħmilu jifhem ħabta ta' tunell encryptat. Aqra n-noti tad-deploy tal-protokoll, bħad- dokumentazzjoni tas-semmiegħa OpenVPN, u segwi l-arranġament li tiddeskrivi.

Iddeċiedi liema identità tappartjeni għal liema servizz

Ċertifikat tal-browser u kredenzjali ta' peer tal-VPN huma oġġetti differenti b'mudelli ta' fiduċja differenti. Iċ-ċertifikat tal-web jiġi vvalidat minn awtorità pubblika u jsemmi isem ta' ospit, filwaqt li l-kredenzjali tal-peer jawtentika apparat jew utent quddiem il-konċentratur u jista' jkun iffirmat minnu nnifsu jew maħruġ internament. Li tuża wieħed bħall-ieħor jaħdem f'każijiet dejqa u rari jiswa dan it-tgħaqqid. Li titfi l-verifika biex taqbel ċertifikat kondiviż mhix pjan ta' separazzjoni; tneħħi l-verifika li tat tifsira lill-kredenzjali.

Żomm iż-żewġ maħżen indipendenti u ikteb liema awtorità toħroġ kull wieħed. Meta wieħed jiġi ddawwar, l-ieħor m'għandux ikollu bżonn jinbidel, u jekk ikollu, it-tgħaqqid huwa dak li għandu jiġi msewwi.

Iddeċiedi fejn tgħix l-amministrazzjoni

L-interface amministrattiva tal-VPN tappartjeni għal mogħdija tal-ġestjoni, qatt għas-semmiegħa pubblika, anke meta l-ospit diġà jservi l-internet. Server web fuq 443 ma jimplikax li l-konsol tal-peers għandha tkun aċċessibbli minn kullimkien, u l-konsol normalment hija l-mira ta' valur ogħla. Orbotaha ma' indirizz ta' loopback jew ġestjoni, illimitaha skont is-sors, u żomm mogħdija ta' rkupru li ma tiddependix milli t-tunell ikun 'il fuq. Il-mogħdija ta' rkupru hija importanti għaliex il-falliment komuni huwa li tissakkar barra waqt li tkun qed issewwi s-sakkar.

Ikteb regoli dojoq tal-firewall, waħda għal kull semmiegħa, u semmi l-interface jew il-kont tas-servizz fejn il-pjattaforma tappoġġja dan. Regoli wiesgħa li jiftħu l-ospit għaliex is-sit jeħtieġ 443 huma l-mod kif l-interfaces amministrattivi jispiċċaw fl-indiċi tal-iscanners.

Irrevedi dawk ir-regoli mal-tabella tas-semmiegħa kull darba li jiżdied servizz. Ir-reviżjoni hija rħisa u taqbad ir-regola li xi ħadd żied fi tnejn ta' filgħodu.

Iddeċiedi x'għandek tagħmel meta t-tnejn jikkompetu

Li taqsam ospit ifisser li taqsam CPU, memorja, deskritturi tal-fajls u bandwidth, u r-riżors ikkontestat mhux dejjem huwa dak ovvju. Sit impenjat jista' jimla t-tabella tal-konnessjonijiet, jeżawrixxi l-islots tax-xogħol, jew jimbotta l-kju tad-diska biżżejjed biex l-illoggjar tal-VPN jieqaf. Ħares lejn l-użu għal kull servizz minflok it-totali tal-ospit, għaliex medja taħbi liema proċess qed ibati l-ġuħ. Jekk tagħbija tax-xogħol tfixkel lill-oħra ripetutament, iżolahom minflok ma tagħmel tuning madwar is-sintomu.

L-iżolament jista' jkun kontenitur, limitu cgroup, kju separat jew it-tieni ospit, u l-għażla t-tajba tiddependi minn liema riżors jikkompeti. Bidla fil-port ma ssewwi xejn hawn, u istanza akbar ma ssewwi xejn jekk il-limitu huwa kju wieħed saturat. Iddeċiedi b'kejl: semmi r-riżors, tgħabbih, imbagħad agħżel l-iżolament l-iżgħar li jneħħi l-kompetizzjoni.

Ivverifika minn barra, imbagħad għal darb'oħra wara restart

Ittestja minn apparat li mhuwiex fuq in-netwerk tal-ospit innifsu: tgħabbi s-sit, tellgħa t-tunell, u wasal għal riżors wieħed li jeħtieġu. Imbagħad erġa' ibda kull servizz waħdu u erġa' agħmel it-test l-ieħor, għaliex restart huwa l-mument meta arranġament ta' semmiegħa kondiviża jitlef l-ordni tiegħu. Jekk il-VPN jibda qabel is-server web li jippossjedi l-port kondiviż, il-mekkaniżmu tal-qsim jista' qatt ma jitwaħħal, u s-sintomu huwa tunell li ħadem ilbieraħ. Agħmel id-dipendenza espliċita fl-ordni tal-unitajiet.

Imbagħad ikkonferma l-konfini: is-sit iwieġeb fuq il-port tiegħu, il-VPN iwieġeb fuq tiegħu stess, u l-interface amministrattiva twieġeb biss mill-mogħdija tal-ġestjoni. Irreġistra r-riżultat ħdejn it-tabella tas-semmiegħa bid-data. Ospit li jgħaddi t-tliet verifiki wara restart huwa ospit li tista' tgħaddih lil xi ħadd ieħor mingħajr briefing.