Obmedzte VPN poslucháč na rozhrania, ktoré ste mali na mysli
Poslucháč s wildcardom a pravidlo firewallu sú rôzne kontroly. Prečítajte si skutočné sockety pomocou ss a potom skontrolujte rodinu adries a firewall.
Služba VPN je dostupná odvšadiaľ, kde je jej socket naviazaný a kde to jej firewall dovoľuje. Sú to dve samostatné rozhodnutia a ľudia zvyčajne urobia len jedno z nich. Prečítanie skutočného poslucháča trvá desať sekúnd a vyrieši otázku, ktorú hádanie vyriešiť nedokáže. Začnite tam a potom meňte jednu kontrolu po druhej.
Všetko nižšie predpokladá, že môžete na hostiteľovi spúšťať príkazy ako root alebo cez sudo.
Prečítajte si sockety, skôr než čokoľvek zmeníte
V Linuxe ss -lunp vypisuje UDP poslucháčov s ich lokálnou adresou, portom a procesom a ss -ltnp robí to isté pre TCP. Nájdite port VPN a pozorne si prečítajte stĺpec adresy. 0.0.0.0:51820 a [::]:51820 znamenajú každé rozhranie, zatiaľ čo 10.0.0.5:51820 znamená jednu adresu na jednom rozhraní. Manuál k ss popisuje stĺpce, ak je výstup neznámy. Ak chýba názov procesu, spustite ten istý príkaz so sudo, pretože stĺpec vlastníka vyžaduje oprávnenie.
Adresu si zapíšte. Je to skutočnosť, na ktorej závisí zvyšok tohto návodu.
Naväzujte na adresu, nie na želanie
OpenVPN naväzuje poslucháča svojou direktívou local na konkrétnu adresu, a to je podporovaný spôsob, ako ho obmedziť na úrovni procesu. Nie každá implementácia ponúka ekvivalent a protokol bez možnosti naviazania nemožno takto zúžiť. Ak ten váš nemá žiadnu, firewall je vašou jedinou kontrolou a poznámky k nasadeniu by to mali jasne povedať. Na hostiteľovi s viacerými adresami sa naväžte na tú, ktorá smeruje k tunelu; naviazanie na plávajúcu adresu je zvyčajne chyba.
Služba, ktorá musí prežiť zmenu adresy, potrebuje plán pre zastarané naviazanie, nielen konfiguračný riadok.
Skontrolujte rodinu adries osobitne
IPv4 a IPv6 sú samostatné sockety. Proces naviazaný na 0.0.0.0 môže stále prijímať IPv6 cez dvojzásobníkový socket, alebo nemusí, podľa voľby socketu a predvoleného správania platformy. Čítanie len riadka IPv4 už zmiatlo nejeden audit nasadenia. Predtým, než uzavriete, že poslucháč je úzky, vypíšte obe rodiny.
Ak IPv6 nie je súčasťou návrhu, jeho vypnutie na úrovni socketu je čistejšie než dúfať, že ho firewall pokryje. Je to rozhodnutie o politike, takže ho zaznamenajte spolu s ostatnými voľbami rozhraní.
Vrstvite firewall nad naviazaním
Úzke naviazanie nenahrádza pravidlo firewallu a pravidlo firewallu nezúži wildcard naviazanie. Použite oboje: naväžte sa tam, kde to implementácia podporuje, a potom povoľte port len zo zdrojov, ktoré by sa k nemu mali dostať. Cloudové bezpečnostné skupiny stoja pred firewallom hostiteľa, takže pri prechode cesty cez hranicu VPC skontrolujte oboje. Účinné pravidlo je prienik oboch a každá vrstva môže len uberať dostupnosť.
Testujte z povoleného zdroja a z úmyselne vylúčeného. Pripojenie z localhostu nič nedokazuje o verejnej hranici.
Zaznamenajte, čo ste vybrali
Zapíšte naviazanú adresu, rozhranie, ktoré ju vlastní, pravidlo firewallu a jeho účel. Náhradná NIC alebo prerozdelená cloudová adresa môžu zmeniť expozíciu bez toho, aby niekto upravil profil. Poznámku opatrite dátumom, pretože cloudové adresy sa medzi revíziami pohybujú častejšie, než ľudia očakávajú.
Práve táto poznámka robí z ďalšej revízie porovnanie namiesto archeologického projektu.