Avgrens ein VPN-lyttar til grensesnitta du meinte

Ein VPN-teneste er tilgjengeleg frå der socketen er bunden og brannmuren tillèt det. Det er to separate avgjerder, og folk tek vanlegvis berre éi av dei. Å lese den faktiske lyttaren tek ti sekund og avgjer eit spørsmål som gissing ikkje kan. Start der, og endre deretter éin kontroll om gongen.

Alt nedanfor føreset at du kan køyre kommandoar på verten med root eller sudo.

Les socketane før du endrar noko

På Linux viser ss -lunp UDP-lyttarar med den lokale adressa, porten og prosessen deira, og ss -ltnp gjer det same for TCP. Finn porten til VPN-en og les adressekolonnen nøye. 0.0.0.0:51820 og [::]:51820 tyder kvart grensesnitt, medan 10.0.0.5:51820 tyder éi adresse på eitt grensesnitt. ss-handboka dokumenterer kolonnane om utdataa er ukjende. Manglar prosessnamnet, køyr same kommandoen med sudo, fordi eigarkolonnen krev privilegium.

Skriv ned adressa. Det er faktumet som resten av denne køyreboka er avhengig av.

Bind til ei adresse, ikkje til eit ønskje

OpenVPN bind lyttaren til ei bestemd adresse med local-direktivet, og det er den støtta måten å avgrense han på prosessnivå. Ikkje kvar implementasjon tilbyr ein tilsvarande, og ein protokoll utan bindingsval kan ikkje snevrast inn på denne måten. Viss din ikkje har nokon, er brannmuren den einaste kontrollen din, og distribusjonsnotata bør seie det tydeleg. På ein vert med fleire adresser, bind til den som vender mot tunnelen; å binde til ei adresse som flyt er vanlegvis ein feil.

Ei teneste som må overleve ei adresseendring treng ein plan for den utdaterte bindinga, ikkje berre ei konfigurasjonslinje.

Kontroller adressefamilien separat

IPv4 og IPv6 er separate socketar. Ein prosess bunden til 0.0.0.0 kan framleis godta IPv6 gjennom ein dual-stack-socket, eller kanskje ikkje, avhengig av socketvalet og standarden til plattforma. Å lese berre IPv4-linja har lurt meir enn éin distribusjonsgjennomgang. List begge familiane før du konkluderer med at lyttaren er smal.

Viss IPv6 ikkje er ein del av designet, er det reinare å slå det av på socketnivå enn å håpe at brannmuren dekkjer det. Det er ei policyavgjerd, så registrer ho saman med resten av grensesnittvala.

Legg brannmuren over bindinga

Ei smal binding erstattar ikkje ein brannmurregel, og ein brannmurregel snevrar ikkje inn ei jokerteiknbinding. Bruk begge: bind der implementasjonen støttar det, og tillat deretter porten berre frå kjeldene som skal nå han. Skysikkerheitsgrupper står framfor brannmuren til verten, så kontroller begge når vegen kryssar ei VPC-grense. Den effektive regelen er snittet av dei to, og kvart lag kan berre trekkje frå tilgjenge.

Test frå ei tillaten kjelde og frå ei medvite utelukka. Ei tilkopling frå localhost beviser ingenting om den offentlege grensa.

Registrer kva du valde

Skriv ned den bundne adressa, grensesnittet som eig ho, brannmurregelen og føremålet hans. Ein erstatnings-NIC eller ei omfordelt skyadresse kan endre eksponeringa utan at nokon redigerer profilen. Dater notatet, fordi skyadresser flyttar seg mellom gjennomgangar oftare enn folk ventar.

Det er notatet som gjer neste gjennomgang til ein samanlikning i staden for eit arkeologiprosjekt.