Omejite poslušalca VPN na vmesnike, ki ste jih imeli v mislih

Storitev VPN je dosegljiva od povsod, kjer je njena vtičnica vezana in kjer njen požarni zid to dovoljuje. To sta dve ločeni odločitvi in ljudje običajno sprejmejo le eno od njiju. Branje dejanskega poslušalca traja deset sekund in razreši vprašanje, ki ga ugibanje ne more. Začnite tam in nato spreminjajte eno kontrolo naenkrat.

Vse spodaj predpostavlja, da lahko na gostitelju izvajate ukaze kot root ali prek sudo.

Preberite vtičnice, preden karkoli spremenite

V Linuxu ss -lunp izpiše poslušalce UDP z njihovim lokalnim naslovom, vrati in procesom, ss -ltnp pa naredi isto za TCP. Poiščite vrata VPN in pozorno preberite stolpec z naslovom. 0.0.0.0:51820 in [::]:51820 pomenita vsak vmesnik, medtem ko 10.0.0.5:51820 pomeni en naslov na enem vmesniku. Priročnik za ss opisuje stolpce, če vam izpis ni znan. Če ime procesa manjka, zaženite isti ukaz s sudo, ker stolpec lastnika zahteva privilegij.

Zapišite naslov. To je dejstvo, od katerega je odvisen preostanek tega priročnika.

Vežite se na naslov, ne na željo

OpenVPN s svojo direktivo local veže poslušalca na določen naslov, in to je podprt način, da ga omejite na ravni procesa. Vsaka implementacija ne ponuja enakovredne možnosti, protokola brez možnosti vezave pa na ta način ni mogoče zožiti. Če vaša nima nobene, je požarni zid vaša edina kontrola, in opombe za uvajanje bi morale to jasno povedati. Na gostitelju z več naslovi se vežite na tistega, ki gleda proti tunelu; vezava na plavajoč naslov je običajno napaka.

Storitev, ki mora preživeti spremembo naslova, potrebuje načrt za zastarelo vezavo, ne le vrstice konfiguracije.

Preverite družino naslovov ločeno

IPv4 in IPv6 sta ločeni vtičnici. Proces, vezan na 0.0.0.0, lahko še vedno sprejema IPv6 prek vtičnice z dvojnim skladom, ali pa tudi ne, odvisno od možnosti vtičnice in privzete nastavitve platforme. Branje samo vrstice IPv4 je zavedlo več kot en pregled uvajanja. Preden sklenete, da je poslušalec ozek, izpišite obe družini.

Če IPv6 ni del zasnove, je izklop na ravni vtičnice čistejši kot upanje, da ga bo požarni zid pokril. To je politična odločitev, zato jo zabeležite skupaj z drugimi izbirami vmesnikov.

Slojite požarni zid nad vezavo

Ozka vezava ne nadomesti pravila požarnega zidu, in pravilo požarnega zidu ne zoži vezave z nadomestnim znakom. Uporabite oboje: vežite se tam, kjer implementacija to podpira, nato pa dovolite vrata le iz virov, ki bi morali priti do njih. Oblačne varnostne skupine stojijo pred požarnim zidom gostitelja, zato preverite oboje, ko pot prečka mejo VPC. Učinkovito pravilo je presek obeh, in vsak sloj lahko samo odvzame dosegljivost.

Preizkusite z dovoljenega vira in z namerno izključenega. Povezava z localhosta ne dokaže ničesar o javni meji.

Zabeležite, kaj ste izbrali

Zapišite vezani naslov, vmesnik, ki ga ima v lasti, pravilo požarnega zidu in njegov namen. Zamenjana kartica NIC ali prerazporejen oblačni naslov lahko spremenita izpostavljenost, ne da bi kdo uredil profil. Opombi dodajte datum, ker se oblačni naslovi med pregledi premikajo pogosteje, kot ljudje pričakujejo.

Prav ta opomba naredi naslednji pregled primerjavo namesto arheološkega projekta.