د VPN سرور لپاره کلاوډ فایر وال د هوسټ فایر وال په مقابل کې

په کلاوډ پالیسۍ کې VPN پورټ ته اجازه ورکړئ او لاس نیول بیا هم پر انسټانس مړ کېدای شي: مېلمه خپله فلټره او خپله اورېدونکې تړنه چلوي، او هر یو یې هغه څه غورځولی شي چې کلاوډ تصویب کړي. برعکس هم کېږي، کله چې د هوسټ قاعده پورټ ته اجازه ورکوي او پورتنۍ پالیسي لومړی غورځوي یې. دوه مالکان، د قاعدو دوه ټولګې، د بستې یوه لار. په ترتیب سره یې ووهئ، نه دا چې په تر ټولو شکمنه طبقه کې اټکل وکړئ.

له څنډې پیل کړئ او دننه لاړ شئ

ترتیب ثابت دی: عامه پای ټکی، د سرچینې انټرفیس، نښلول شوې کلاوډ پالیسي، د مېلمه پته، د پروسې اورېدونکی، سیمه ییز د ننوتلو قواعد. هر پړاو یا بسته پرېږدي یا څېړنه پای ته رسوي، نو له مېلمه څخه پیل تر ټولو ډېر وخت ضایع کوي.

لېږدول شوې کلاېنټ ټرافیک جلا پړاو دی، چې د تونل له خلاصېدو وروسته کتل کېږي. د کلاوډ طبقه یوازې بیرونی تونل ویني، نو کولای شي یو اړیکه تصویب کړي او بیا هم د داخلي خدمت غوښتنې سره هېڅ تړاو ونلري. هغه تونل چې نښلي خو داخلي هوسټ ته نه رسېږي، معمولاً لېږدولو ته اشاره کوي، نه بند پورټ ته.

له مېلمه مخکې کلاوډ پالیسي ولولئ

د VPN پورټ د ننوتلو قاعده، د هغې پروتوکول او هغه سرچینه چې ستاسو د ازموینې کلاېنټ سره سمه وي تایید کړئ. د سبنيټ د لاسرسي کنټرول لیست هم وګورئ: دوهمه فلټره چې خپل قواعد او خپل ډیفالټ لري. دواړه باید د بستې له انسټانس ته رسېدو مخکې بهیر ته اجازه ورکړي. په یوه کې اجازه او په بل کې انکار د دې تېروتنې عادي بڼه ده.

ساحه تر هغه تنګه کړئ چې معنا ولري. د VPN پورټ ټول انټرنیټ ته پرانیستل ثابتول اسانه او دفاع کول سخت دي، خو هغه قاعده چې یوې پتې ته نښتي وي، د ازموینې کلاېنټ د شبکې په بدلېدو ماتېږي. د قاعدې پېژند او د پالیسۍ مالک ولیکئ، تر څو بل بدلون تر یو کس پورې وموندل شي.

لومړی اورېدونکی، بیا د ننوتلو زنځیر تایید کړئ

پر انسټانس وګورئ چې د VPN پروسه هغه پتې او پورټ سره تړلې ده چې تمه یې لرئ، د بېلګې په توګه د ss -lntp 'sport = :1194' په مرسته. یوازې 127.0.0.1 ته تړلی ډیمن سیمه ییز کلاېنټ مني او د تونل له لارې هېڅ نه، چې له دېرې څخه په بشپړه توګه د فلټر شوي پورټ په څېر ښکاري.

بیا سیمه ییز قواعد په هغه نحو ولولئ چې د بدلولو لپاره به یې کاروئ، لکه iptables -S INPUT یا nft list chain inet filter input. هغه قاعده چې په فایل کې لیکل شوې خو هېڅکله نه ده پورته شوې، یا ډیفالټ غورځول پرته له سمې اجازې، بستې په خاموشۍ غورځوي. د لېږدونکي ګېټوې لپاره د لېږد او د بېرته لارې تنظیمات هم وګورئ. همدا هغه څه ټاکي چې د انسټانس له لارې تګ راتګ شویو، نه هغې ته لېږل شوو بستو سره څه کېږي.

په یوه طبقه کې حالت لرونکی، په بل کې بې حالته

د امنیت ډلې هغه بهیرونه یاد ساتي چې اجازه یې ورکړې او ځوابونه بېرته دننه پرېږدي. د سبنيټ د لاسرسي کنټرول لیستونه او ډېر د هوسټ فایر والونه داسې حالت نه ساتي، نو هغه قاعده چې یوازې د وتلو لوري پوښي، غوښتنه پرېږدي او ځواب غورځوي. هېڅکله د دوهمې طبقې قاعده له لوستلو پرته د طبقو ترمنځ د بېرته تګ راتګ انګېرنه مه وړئ (second layer's rule).

حسابونکي دا تر هغه چې په حساب کې هره قاعده ولولئ ګړندي حل کوي. هغه حسابونکی چې لوړېږي مانا دا ده چې بسته هلته ورسېده او هماغله غورځول شوه، خو هغه چې په صفر ودرېده مانا دا ده چې هېڅکله هلته ونه رسېده؛ کله چې قواعد د حسابونکو سره پورته شوي وي، iptables -vnL INPUT او nft list ruleset هغه شمېرې ښیي.

د ژوندې نه، د نوي غونډې سره ازموینه وکړئ

د پرتله کولو پر مهال سرچینه شبکه او د ازموینې پروفایل مه بدلئ، او له هر بدلون وروسته نوې اړیکه پرانیزئ. په 443 کې ویب کنسول ته رسېدل هېڅ نه وایي چې د VPN ډیمن 1194 ته تړلی دی که نه، نو هغه پورټ ازموئ چې ورته اړتیا لرئ. دلته شته غونډه تر ټولو بد شاهدي ده. هر نوی ننوتل چې رد شي، هغه بیا هم کار کوي.

د لېرې پالیسۍ له سمون مخکې د بېرته تګ داسې لار خوندي کړئ چې په هغه لار ولاړه نه وي چې تاسو یې بدلوئ. بیا د VPN ازموینې ترڅنګ دوهمه ادارې غونډه پرانیزئ: هغه چې پخوا جوړه شوې، کولای شي د نویو د بندولو قاعده ژوندۍ پاتې شي. د دواړو پالیسیو مالکان ولیکئ تر څو هېڅ بیا جوړونه نیمه لار بېرته راونه ګرځوي؛ که دواړه طبقې سره سمې وي او تونل بیا هم ناکام شي، د مېلمه انټرفیس کې ثبت کړئ او هغه پته او پورټ وګورئ چې کلاېنټ یې واقعاً کاروي.