VPN श्रोतालाई तपाईंले चाहेका इन्टरफेसमा सीमित गर्नुहोस्

VPN सेवा त्यहाँबाट पुग्न सकिन्छ जहाँ यसको सकेट बाँधिएको छ र यसको फायरवालले अनुमति दिन्छ। यी दुई फरक निर्णय हुन्, र मानिसहरूले सामान्यतया तीमध्ये एउटा मात्र लिन्छन्। वास्तविक श्रोता पढ्न दश सेकेन्ड लाग्छ र अनुमानले समाधान गर्न नसक्ने प्रश्न समाधान गर्छ। त्यहीँबाट सुरु गर्नुहोस्, त्यसपछि एक पटकमा एउटा नियन्त्रण परिवर्तन गर्नुहोस्।

तलको सबै कुरा तपाईंले होस्टमा root वा sudo सँग आदेशहरू चलाउन सक्नुहुन्छ भन्ने मान्छ।

केही परिवर्तन गर्नु अघि सकेटहरू पढ्नुहोस्

Linux मा, ss -lunp ले UDP श्रोताहरूलाई तिनको स्थानीय ठेगाना, पोर्ट र प्रक्रियासहित सूचीबद्ध गर्छ, र ss -ltnp ले TCP का लागि त्यही गर्छ। VPN को पोर्ट खोज्नुहोस् र ठेगाना स्तम्भ ध्यानपूर्वक पढ्नुहोस्। 0.0.0.0:51820 र [::]:51820 भन्नाले हरेक इन्टरफेस, जबकि 10.0.0.5:51820 भन्नाले एउटा इन्टरफेसमा एउटा ठेगाना। आउटपुट अपरिचित भए ss म्यानुअल ले स्तम्भहरूको दस्तावेजीकरण गर्छ। प्रक्रियाको नाम छैन भने त्यही आदेश sudo सँग चलाउनुहोस्, किनकि मालिक स्तम्भलाई विशेषाधिकार चाहिन्छ।

ठेगाना लेख्नुहोस्। यो त्यो तथ्य हो जसमा यो गाइडको बाँकी भाग निर्भर छ।

इच्छामा होइन, ठेगानामा बाँध्नुहोस्

OpenVPN ले आफ्नो local निर्देशनद्वारा श्रोतालाई विशेष ठेगानामा बाँध्छ, र प्रक्रिया स्तरमा यसलाई सीमित गर्ने समर्थित तरिका यही हो। हरेक कार्यान्वयनले समान दिँदैन, र बाइन्ड विकल्प नभएको प्रोटोकललाई यसरी साँघुरो गर्न सकिँदैन। तपाईंकोमा कुनै छैन भने, फायरवाल नै तपाईंको एकमात्र नियन्त्रण हो, र डिप्लोयमेन्ट नोटहरूले त्यो स्पष्ट भन्नुपर्छ। धेरै ठेगाना भएको होस्टमा, सुरुङतर्फ फर्केको ठेगानामा बाँध्नुहोस्; तैरने ठेगानामा बाँध्नु सामान्यतया गल्ती हो।

ठेगाना परिवर्तन सहनुपर्ने सेवालाई पुरानो बन्धनका लागि योजना चाहिन्छ, केवल कन्फिगरेसन लाइन होइन।

ठेगाना परिवार अलग जाँच्नुहोस्

IPv4 र IPv6 फरक सकेट हुन्। 0.0.0.0 मा बाँधिएको प्रक्रियाले दोहोरो-स्ट्याक सकेटमार्फत अझै IPv6 स्वीकार गर्न सक्छ, वा नहुन पनि सक्छ; यो सकेट विकल्प र प्लेटफर्मको पूर्वनिर्धारितमा निर्भर छ। केवल IPv4 लाइन पढ्दा एकभन्दा बढी डिप्लोयमेन्ट समीक्षा भ्रमित भएका छन्। श्रोता साँघुरो छ भन्ने निष्कर्षमा पुग्नु अघि दुवै परिवार सूचीबद्ध गर्नुहोस्।

IPv6 डिजाइनको भाग होइन भने, फायरवालले ढाक्छ भन्ने आशा गर्नुभन्दा सकेट स्तरमा यसलाई अक्षम गर्नु सफा हुन्छ। यो नीति निर्णय हो, त्यसैले इन्टरफेस विकल्पहरूसँगै यसलाई अभिलेख गर्नुहोस्।

बन्धनमाथि फायरवाल तह राख्नुहोस्

साँघुरो बन्धनले फायरवाल नियमलाई प्रतिस्थापन गर्दैन, र फायरवाल नियमले wildcard बन्धनलाई साँघुरो गर्दैन। दुवै प्रयोग गर्नुहोस्: कार्यान्वयनले समर्थन गर्ने ठाउँमा बाँध्नुहोस्, त्यसपछि पोर्टलाई त्यहाँ पुग्नुपर्ने स्रोतहरूबाट मात्र अनुमति दिनुहोस्। क्लाउड सुरक्षा समूहहरू होस्ट फायरवालअगाडि बस्छन्, त्यसैले मार्गले VPC सीमा तर्दा दुवै जाँच्नुहोस्। प्रभावकारी नियम दुवैको प्रतिच्छेदन हो, र हरेक तहले पहुँच मात्र घटाउन सक्छ।

अनुमति दिइएको स्रोत र जानाजान बाहिर राखिएको स्रोतबाट परीक्षण गर्नुहोस्। localhost बाट जडानले सार्वजनिक सीमाबारे केही प्रमाणित गर्दैन।

तपाईंले के रोज्नुभयो अभिलेख गर्नुहोस्

बाँधिएको ठेगाना, त्यसको मालिक इन्टरफेस, फायरवाल नियम र यसको उद्देश्य लेख्नुहोस्। परिवर्तन गरिएको NIC वा पुनः तोकिएको क्लाउड ठेगानाले कसैले प्रोफाइल सम्पादन नगरी जोखिम परिवर्तन गर्न सक्छ। नोटमा मिति राख्नुहोस्, किनकि क्लाउड ठेगानाहरू समीक्षाहरूबीच मानिसहरूले अपेक्षा गरेभन्दा बढी चल्छन्।

त्यही नोटले अर्को समीक्षालाई पुरातत्व परियोजनाको सट्टा तुलना बनाउँछ।