VPN ਸਰਵਰ ਲਈ ਕਲਾਊਡ ਫਾਇਰਵਾਲ ਬਨਾਮ ਹੋਸਟ ਫਾਇਰਵਾਲ

ਕਲਾਊਡ ਨੀਤੀ ਵਿੱਚ VPN ਪੋਰਟ ਦੀ ਆਗਿਆ ਦਿਓ ਅਤੇ ਹੈਂਡਸ਼ੇਕ ਫਿਰ ਵੀ ਇੰਸਟੈਂਸ ਉੱਤੇ ਮਰ ਸਕਦਾ ਹੈ: ਮਹਿਮਾਨ ਆਪਣਾ ਫਿਲਟਰ ਅਤੇ ਆਪਣੀ ਸਰੋਤਾ-ਬਾਈਂਡਿੰਗ ਚਲਾਉਂਦਾ ਹੈ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਉਹ ਸੁੱਟ ਸਕਦਾ ਹੈ ਜੋ ਕਲਾਊਡ ਨੇ ਮਨਜ਼ੂਰ ਕੀਤਾ ਸੀ। ਉਲਟਾ ਵੀ ਹੁੰਦਾ ਹੈ, ਜਦੋਂ ਹੋਸਟ ਦਾ ਨਿਯਮ ਪੋਰਟ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ ਅਤੇ ਉੱਪਰਲੀ ਨੀਤੀ ਉਸਨੂੰ ਪਹਿਲਾਂ ਸੁੱਟ ਦਿੰਦੀ ਹੈ। ਦੋ ਮਾਲਕ, ਨਿਯਮਾਂ ਦੇ ਦੋ ਸੈੱਟ, ਇੱਕ ਪੈਕੇਟ ਮਾਰਗ। ਸਭ ਤੋਂ ਸ਼ੱਕੀ ਪਰਤ ਉੱਤੇ ਅੰਦਾਜ਼ਾ ਲਾਉਣ ਦੀ ਬਜਾਏ ਇਸਨੂੰ ਕ੍ਰਮ ਵਿੱਚ ਚੱਲੋ।

ਕਿਨਾਰੇ ਤੋਂ ਸ਼ੁਰੂ ਕਰਕੇ ਅੰਦਰ ਜਾਓ

ਕ੍ਰਮ ਨਿਸ਼ਚਿਤ ਹੈ: ਜਨਤਕ ਅੰਤ-ਬਿੰਦੂ, ਸਰੋਤ ਇੰਟਰਫੇਸ, ਜੁੜੀ ਕਲਾਊਡ ਨੀਤੀ, ਮਹਿਮਾਨ ਦਾ ਪਤਾ, ਪ੍ਰਕਿਰਿਆ ਸਰੋਤਾ, ਸਥਾਨਕ ਇਨਪੁਟ ਨਿਯਮ। ਹਰ ਪੜਾਅ ਜਾਂ ਤਾਂ ਪੈਕੇਟ ਲੰਘਾਉਂਦਾ ਹੈ ਜਾਂ ਜਾਂਚ ਖਤਮ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਮਹਿਮਾਨ ਤੋਂ ਸ਼ੁਰੂ ਕਰਨ ਨਾਲ ਸਭ ਤੋਂ ਵੱਧ ਸਮਾਂ ਬਰਬਾਦ ਹੁੰਦਾ ਹੈ।

ਅੱਗੇ ਭੇਜਿਆ ਕਲਾਇੰਟ ਟ੍ਰੈਫਿਕ ਵੱਖਰਾ ਪੜਾਅ ਹੈ, ਜੋ ਟਨਲ ਡੀਕੈਪਸੂਲੇਟ ਹੋਣ ਤੋਂ ਬਾਅਦ ਜਾਂਚਿਆ ਜਾਂਦਾ ਹੈ। ਕਲਾਊਡ ਪਰਤ ਸਿਰਫ ਬਾਹਰੀ ਟਨਲ ਦੇਖਦੀ ਹੈ, ਇਸ ਲਈ ਇਹ ਕਨੈਕਸ਼ਨ ਮਨਜ਼ੂਰ ਕਰ ਸਕਦੀ ਹੈ ਅਤੇ ਫਿਰ ਵੀ ਅੰਦਰੂਨੀ ਸੇਵਾ ਬੇਨਤੀ ਨਾਲ ਇਸਦਾ ਕੋਈ ਸਬੰਧ ਨਹੀਂ ਹੋ ਸਕਦਾ। ਜੋ ਟਨਲ ਜੁੜਦੀ ਹੈ ਪਰ ਅੰਦਰੂਨੀ ਹੋਸਟ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦੀ, ਉਹ ਆਮ ਤੌਰ ਉੱਤੇ ਅੱਗੇ ਭੇਜਣ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੀ ਹੈ, ਬੰਦ ਪੋਰਟ ਵੱਲ ਨਹੀਂ।

ਮਹਿਮਾਨ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਕਲਾਊਡ ਨੀਤੀ ਪੜ੍ਹੋ

VPN ਪੋਰਟ ਦਾ ਇਨਬਾਊਂਡ ਨਿਯਮ, ਇਸਦਾ ਪ੍ਰੋਟੋਕਾਲ ਅਤੇ ਤੁਹਾਡੇ ਟੈਸਟ ਕਲਾਇੰਟ ਨਾਲ ਮੇਲ ਖਾਂਦੀ ਸਰੋਤ ਹੱਦ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ। ਸਬਨੈੱਟ ਐਕਸੈਸ ਕੰਟਰੋਲ ਸੂਚੀ ਵੀ ਵੇਖੋ: ਆਪਣੇ ਨਿਯਮਾਂ ਅਤੇ ਡਿਫਾਲਟਾਂ ਵਾਲਾ ਦੂਜਾ ਫਿਲਟਰ। ਪੈਕੇਟ ਦੇ ਇੰਸਟੈਂਸ ਤੱਕ ਪਹੁੰਚਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵਾਂ ਨੂੰ ਪ੍ਰਵਾਹ ਦੀ ਆਗਿਆ ਦੇਣੀ ਚਾਹੀਦੀ ਹੈ। ਇੱਕ ਵਿੱਚ ਆਗਿਆ ਅਤੇ ਦੂਜੇ ਵਿੱਚ ਇਨਕਾਰ ਇਸ ਬੱਗ ਦਾ ਆਮ ਰੂਪ ਹੈ।

ਹੱਦ ਨੂੰ ਤਦ ਤੱਕ ਸੰਕਰਾ ਕਰੋ ਜਦੋਂ ਤੱਕ ਇਸਦਾ ਕੋਈ ਅਰਥ ਰਹੇ। VPN ਪੋਰਟ ਨੂੰ ਪੂਰੇ ਇੰਟਰਨੈੱਟ ਲਈ ਖੋਲ੍ਹਣਾ ਸਾਬਤ ਕਰਨਾ ਸੌਖਾ ਅਤੇ ਬਚਾਉਣਾ ਔਖਾ ਹੈ, ਜਦੋਂ ਕਿ ਇੱਕ ਪਤੇ ਉੱਤੇ ਟਿਕਿਆ ਨਿਯਮ ਤੁਹਾਡੇ ਟੈਸਟ ਕਲਾਇੰਟ ਦੇ ਨੈੱਟਵਰਕ ਬਦਲਣ ਉੱਤੇ ਟੁੱਟ ਜਾਂਦਾ ਹੈ। ਨਿਯਮ ਦੀ ਪਛਾਣ ਅਤੇ ਨੀਤੀ ਦੇ ਮਾਲਕ ਨੂੰ ਨੋਟ ਕਰੋ, ਤਾਂ ਜੋ ਅਗਲੀ ਤਬਦੀਲੀ ਕਿਸੇ ਵਿਅਕਤੀ ਤੱਕ ਲੱਭੀ ਜਾ ਸਕੇ।

ਪਹਿਲਾਂ ਸਰੋਤਾ, ਫਿਰ ਇਨਪੁਟ ਚੇਨ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ

ਇੰਸਟੈਂਸ ਉੱਤੇ ਜਾਂਚੋ ਕਿ VPN ਪ੍ਰਕਿਰਿਆ ਤੁਹਾਡੇ ਉਮੀਦ ਕੀਤੇ ਪਤੇ ਅਤੇ ਪੋਰਟ ਨਾਲ ਬੱਝੀ ਹੈ, ਉਦਾਹਰਨ ਲਈ ss -lntp 'sport = :1194' ਨਾਲ। ਸਿਰਫ 127.0.0.1 ਨਾਲ ਬੱਝਾ ਡੈਮਨ ਸਥਾਨਕ ਕਲਾਇੰਟ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ ਅਤੇ ਟਨਲ ਰਾਹੀਂ ਕੁਝ ਨਹੀਂ, ਜੋ ਬਾਹਰੋਂ ਬਿਲਕੁਲ ਫਿਲਟਰ ਕੀਤੇ ਪੋਰਟ ਵਰਗਾ ਦਿਸਦਾ ਹੈ।

ਫਿਰ ਸਥਾਨਕ ਨਿਯਮ ਉਸੇ ਵਾਕ-ਰਚਨਾ ਵਿੱਚ ਪੜ੍ਹੋ ਜੋ ਤੁਸੀਂ ਉਹਨਾਂ ਨੂੰ ਬਦਲਣ ਲਈ ਵਰਤੋਗੇ, ਜਿਵੇਂ iptables -S INPUT ਜਾਂ nft list chain inet filter input। ਫਾਈਲ ਵਿੱਚ ਲਿਖਿਆ ਪਰ ਕਦੇ ਲੋਡ ਨ ਕੀਤਾ ਨਿਯਮ, ਜਾਂ ਮੇਲ ਖਾਂਦੀ ਆਗਿਆ ਤੋਂ ਬਿਨਾਂ ਡਿਫਾਲਟ ਡ੍ਰੌਪ, ਪੈਕੇਟਾਂ ਨੂੰ ਚੁੱਪਚਾਪ ਸੁੱਟ ਦਿੰਦਾ ਹੈ। ਅੱਗੇ ਭੇਜਣ ਵਾਲੇ ਗੇਟਵੇ ਲਈ ਭੇਜਣ ਅਤੇ ਉਲਟ ਮਾਰਗ ਦੀਆਂ ਸੈਟਿੰਗਾਂ ਵੀ ਜਾਂਚੋ। ਇੰਸਟੈਂਸ ਨੂੰ ਸੰਬੋਧਿਤ ਨਾ ਹੋ ਕੇ ਇਸ ਰਾਹੀਂ ਰੂਟ ਹੋਣ ਵਾਲੇ ਪੈਕੇਟਾਂ ਦਾ ਕੀ ਹੁੰਦਾ ਹੈ, ਇਹੀ ਤੈਅ ਕਰਦੀਆਂ ਹਨ।

ਇੱਕ ਪਰਤ ਵਿੱਚ ਸਟੇਟਫੁਲ, ਅਗਲੀ ਵਿੱਚ ਸਟੇਟਲੈਸ

ਸੁਰੱਖਿਆ ਸਮੂਹ ਉਹਨਾਂ ਪ੍ਰਵਾਹਾਂ ਨੂੰ ਯਾਦ ਰੱਖਦੇ ਹਨ ਜਿਹਨਾਂ ਦੀ ਉਹਨਾਂ ਨੇ ਆਗਿਆ ਦਿੱਤੀ ਅਤੇ ਜਵਾਬ ਵਾਪਸ ਆਉਣ ਦਿੰਦੇ ਹਨ। ਸਬਨੈੱਟ ਐਕਸੈਸ ਕੰਟਰੋਲ ਸੂਚੀਆਂ ਅਤੇ ਬਹੁਤ ਸਾਰੇ ਹੋਸਟ ਫਾਇਰਵਾਲ ਅਜਿਹੀ ਸਥਿਤੀ ਨਹੀਂ ਰੱਖਦੇ, ਇਸ ਲਈ ਸਿਰਫ ਬਾਹਰ ਜਾਣ ਵਾਲੀ ਦਿਸ਼ਾ ਢੱਕਣ ਵਾਲਾ ਨਿਯਮ ਬੇਨਤੀ ਲੰਘਾ ਦਿੰਦਾ ਹੈ ਅਤੇ ਜਵਾਬ ਸੁੱਟ ਦਿੰਦਾ ਹੈ। ਦੂਜੀ ਪਰਤ ਦਾ ਨਿਯਮ ਪੜ੍ਹੇ ਬਿਨਾਂ ਪਰਤਾਂ ਵਿਚਕਾਰ ਵਾਪਸੀ ਟ੍ਰੈਫਿਕ ਦੀ ਧਾਰਨਾ ਕਦੇ ਨਾ ਲੈ ਜਾਓ (second layer's rule)।

ਖਾਤੇ ਦੇ ਹਰ ਨਿਯਮ ਨੂੰ ਪੜ੍ਹਨ ਨਾਲੋਂ ਕਾਊਂਟਰ ਤੇਜ਼ੀ ਨਾਲ ਫੈਸਲਾ ਕਰਦੇ ਹਨ। ਵਧਦਾ ਕਾਊਂਟਰ ਮਤਲਬ ਪੈਕੇਟ ਉੱਥੇ ਪਹੁੰਚਿਆ ਅਤੇ ਉੱਥੇ ਹੀ ਸੁੱਟਿਆ ਗਿਆ, ਜਦੋਂ ਕਿ ਜ਼ੀਰੋ ਉੱਤੇ ਜੰਮਿਆ ਕਾਊਂਟਰ ਮਤਲਬ ਉਹ ਉੱਥੇ ਤੱਕ ਪਹੁੰਚਿਆ ਹੀ ਨਹੀਂ; ਨਿਯਮ ਕਾਊਂਟਰਾਂ ਨਾਲ ਲੋਡ ਹੋਣ ਉੱਤੇ iptables -vnL INPUT ਅਤੇ nft list ruleset ਉਹ ਅੰਕੜੇ ਦਿਖਾਉਂਦੇ ਹਨ।

ਜੀਵਤ ਨਹੀਂ, ਨਵੇਂ ਸੈਸ਼ਨ ਨਾਲ ਪਰਖੋ

ਦ੍ਰਿਸ਼ਾਂ ਦੀ ਤੁਲਨਾ ਕਰਦੇ ਸਮੇਂ ਸਰੋਤ ਨੈੱਟਵਰਕ ਅਤੇ ਟੈਸਟ ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਨਾ ਛੇੜੋ, ਅਤੇ ਹਰ ਤਬਦੀਲੀ ਤੋਂ ਬਾਅਦ ਨਵਾਂ ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹੋ। 443 ਉੱਤੇ ਵੈੱਬ ਕੰਸੋਲ ਤੱਕ ਪਹੁੰਚਣਾ ਇਹ ਨਹੀਂ ਦੱਸਦਾ ਕਿ VPN ਡੈਮਨ 1194 ਨਾਲ ਬੱਝਾ ਹੈ ਜਾਂ ਨਹੀਂ, ਇਸ ਲਈ ਤੁਹਾਨੂੰ ਲੋੜੀਂਦੇ ਪੋਰਟ ਨੂੰ ਪਰਖੋ। ਇੱਥੇ ਮੌਜੂਦਾ ਸੈਸ਼ਨ ਸਭ ਤੋਂ ਮਾੜਾ ਗਵਾਹ ਹੈ। ਹਰ ਨਵਾਂ ਲੌਗਇਨ ਇਨਕਾਰ ਹੁੰਦੇ ਸਮੇਂ ਵੀ ਇਹ ਚੱਲਦਾ ਰਹਿੰਦਾ ਹੈ।

ਦੂਰ ਦੀ ਨੀਤੀ ਸੋਧਣ ਤੋਂ ਪਹਿਲਾਂ ਇੱਕ ਵਾਪਸੀ ਰਾਹ ਰੱਖੋ ਜੋ ਤੁਹਾਡੇ ਬਦਲ ਰਹੇ ਮਾਰਗ ਉੱਤੇ ਨਿਰਭਰ ਨਾ ਹੋਵੇ। ਫਿਰ VPN ਟੈਸਟ ਦੇ ਨਾਲ ਦੂਜਾ ਪ੍ਰਸ਼ਾਸਕੀ ਸੈਸ਼ਨ ਖੋਲ੍ਹੋ: ਪਹਿਲਾਂ ਬਣਿਆ ਸੈਸ਼ਨ ਨਵਿਆਂ ਨੂੰ ਰੋਕਣ ਵਾਲੇ ਨਿਯਮ ਨਾਲੋਂ ਲੰਮਾ ਜੀਅ ਸਕਦਾ ਹੈ। ਦੋਵਾਂ ਨੀਤੀਆਂ ਦੇ ਮਾਲਕ ਨੋਟ ਕਰੋ ਤਾਂ ਜੋ ਕੋਈ ਮੁੜ-ਨਿਰਮਾਣ ਅੱਧਾ ਮਾਰਗ ਬਹਾਲ ਨਾ ਕਰੇ; ਜੇ ਦੋਵੇਂ ਪਰਤਾਂ ਸਹਿਮਤ ਹਨ ਅਤੇ ਟਨਲ ਫਿਰ ਵੀ ਫੇਲ ਹੁੰਦੀ ਹੈ, ਤਾਂ ਮਹਿਮਾਨ ਇੰਟਰਫੇਸ ਉੱਤੇ ਕੈਪਚਰ ਕਰੋ ਅਤੇ ਉਹ ਪਤਾ ਤੇ ਪੋਰਟ ਜਾਂਚੋ ਜੋ ਕਲਾਇੰਟ ਅਸਲ ਵਿੱਚ ਵਰਤਦਾ ਹੈ।