Izvajanje VPN in spletnega mesta na enem gostitelju brez trkov

Ko delite enega gostitelja med javno mesto in VPN, podedujete dve vprašanji, ne eno: kaj posluša kje in kdo komu overi identiteto. Odgovorite na obe, preden se dotaknete konfiguracijske datoteke, ker so privzete vrednosti napačne na načine, ki se pokažejo šele pod obremenitvijo. Stran, ki se naloži prek HTTPS, dokazuje, da spletni poslušalec odgovarja, in nič o partnerskem poslušalcu. Sledi vrstni red odločitev, ki preprečuje, da bi se dva pojedla.

Odločite, kaj posluša na katerem naslovu in transportu

Napišite tabelo s tremi stolpci, naslov, transport in vrata, ter eno vrstico na storitev, vključno z upravnim vmesnikom. TCP 443 za mesto in UDP 443 za VPN nista trk, tudi ko se številke ujemajo, ker se transport razlikuje. Dve storitvi na istem naslovu, transportu in vratih potrebujeta dogovor, ki ga izvedba dokumentira, ne takega, ki ga izmislite med izpadom. Ta tabela je tudi artefakt, ki naredi naslednjo spremembo pregledno.

Ločeni naslovi ali druga vrata naredijo lastništvo vidno v zajemu paketov, in to je vredno več kot eleganca. Nekatere izvedbe VPN podpirajo deljenje vrat s spletnim strežnikom, a mehanizem je specifičen: demon pregleda prve bajte in posreduje promet, ki ni njegov protokol. Splošni obratni posrednik za HTTP tega ne počne, in prepisovanje glav ga ne bo naučilo razumeti rokovanja šifriranega tunela. Preberite opombe o namestitvi protokola, na primer dokumentacijo poslušalca OpenVPN, in sledite dogovoru, ki ga opisuje.

Odločite, katera identiteta pripada kateri storitvi

Potrdilo brskalnika in poverilnica partnerja VPN sta različna predmeta z različnimi modeli zaupanja. Spletno potrdilo overi javni organ in navaja ime gostitelja, medtem ko poverilnica partnerja overi napravo ali uporabnika pri koncentratorju in je lahko samopodpisana ali izdana interno. Ponovna uporaba enega kot drugega deluje v ozkih primerih in je redko vredna te povezave. Izklop preverjanja, da bi se skupno potrdilo prilegalo, ni načrt ločitve; odstrani preverjanje, ki je poverilnici dalo smisel.

Ohranite obe shrambi neodvisni in zapišite, kateri organ izda vsako. Ko se ena zavrti, druga ne bi smela potrebovati spremembe, in če jo, je povezava tista, ki jo je treba popraviti.

Odločite, kje živi upravljanje

Upravni vmesnik VPN pripada poti upravljanja, nikoli javnemu poslušalcu, tudi ko gostitelj že streže internetu. Spletni strežnik na 443 ne pomeni, da mora biti konzola partnerjev dosegljiva od vsepovsod, in konzola je običajno cilj z višjo vrednostjo. Privežite jo na povratni ali upravni naslov, omejite jo po izvoru in ohranite pot obnovitve, ki ni odvisna od tega, ali je tunel dvignjen. Pot obnovitve je pomembna, ker je običajna napaka zaklepanje sebe zunaj, medtem ko popravljate ključavnico.

Pišite ozka pravila požarnega zidu, eno na poslušalca, in poimenujte vmesnik ali servisni račun, kjer to platforma podpira. Široka pravila, ki odprejo gostitelja, ker mesto potrebuje 443, so način, kako upravni vmesniki končajo v indeksih skenerjev.

Ta pravila pregledujte glede na tabelo poslušalcev vsakič, ko je dodana storitev. Pregled je poceni in ujame pravilo, ki ga je nekdo dodal ob dveh zjutraj.

Odločite, kaj storiti, ko se dva prepirata

Deljenje gostitelja pomeni deljenje procesorja, pomnilnika, datotečnih deskriptorjev in pasovne širine, in sporni vir ni vedno očiten. Zasedeno mesto lahko napolni tabelo povezav, izčrpa delovna mesta ali tako močno potisne čakalno vrsto diska, da se beleženje VPN ustavi. Opazujte porabo po storitvah, ne vsote gostitelja, ker povprečje skrije, kateri proces je lačen. Če ena obremenitev ponavljajoče moti drugo, ju izolirajte, namesto da bi uglaševali okoli simptoma.

Izolacija je lahko vsebnik, omejitev cgroup, ločena vrsta ali drugi gostitelj, in prava izbira je odvisna od tega, kateri vir se prepira. Sprememba vrat tu nič ne popravi, in večja instanca ne popravi ničesar, če je omejitev ena nasičena vrsta. Odločite se z meritvijo: poimenujte vir, ga obremenite in nato izberite najmanjšo izolacijo, ki prepir odpravi.

Preverite od zunaj, nato znova po ponovnem zagonu

Preizkusite z naprave, ki ni v omrežju samega gostitelja: naložite mesto, dvignite tunel in dosezite en vir, ki ga zahteva. Nato znova zaženite vsako storitev posebej in ponovite drugi preizkus, ker je ponovni zagon trenutek, ko dogovor o deljenem poslušalcu izgubi svoj vrstni red. Če se VPN zažene pred spletnim strežnikom, ki ima v lasti deljena vrata, se mehanizem deljenja morda nikoli ne pripne, simptom pa je tunel, ki je včeraj deloval. Naredite odvisnost izrecno v vrstnem redu enot.

Nato potrdite meje: mesto odgovarja na svojih vratih, VPN odgovarja na svojih, upravni vmesnik pa odgovarja le s poti upravljanja. Zabeležite rezultat ob tabeli poslušalcev z datumom. Gostitelj, ki po ponovnem zagonu prestane vse tri preizkuse, je gostitelj, ki ga lahko predate nekomu drugemu brez uvajanja.