Firewall në re kundrejt firewall-it të hostit për një server VPN

Lejoni portin VPN në politikën e resë dhe shtrëngimi i duarve mund të vdesë përsëri në instancë: mysafiri ekzekuton filtrin e vet dhe lidhjen e vet të dëgjuesit, dhe secili prej tyre mund të hedhë poshtë atë që reja miratoi. Ndodh edhe e kundërta, kur një rregull i hostit lejon portin dhe një politikë më lart e hedh poshtë i pari. Dy pronarë, dy grupe rregullash, një shteg paketash. Kalojeni me radhë në vend që të hamendësoni në shtresën më të dyshimtë.

Filloni nga skaji dhe shkoni nga brenda

Rendi është i fiksuar: pikë fundore publike, ndërfaqja e burimit, politika e resë e bashkangjitur, adresa e mysafirit, dëgjuesi i procesit, rregullat vendore të hyrjes. Çdo fazë ose e kalon paketën ose e mbyll hetimin, prandaj fillimi te mysafiri humbet më shumë kohë.

Trafiku i klientit të përcjellë është një fazë më vete, që inspektohet pasi tuneli dekapsulohet. Shtresa e resë sheh vetëm tunelin e jashtëm, ndaj mund të miratojë një lidhje dhe gjithsesi të mos ketë asnjë lidhje me një kërkesë për shërbim të brendshëm. Një tunel që lidhet por nuk arrin një host të brendshëm zakonisht tregon përcjellje, jo port të mbyllur.

Lexoni politikën e resë përpara se të prekni mysafirin

Konfirmoni rregullin e hyrjes për portin VPN, protokollin e tij dhe shtrirjen e burimit që përputhet me klientin tuaj të provës. Kontrolloni edhe listën e kontrollit të aksesit të nënrrjetit: një filtër i dytë me rregullat dhe parazgjedhjet e veta. Të dyja duhet ta lejojnë rrjedhën përpara se një paketë të arrijë në instancë. Leje në njërën dhe refuzim në tjetrën është forma e zakonshme e këtij defekti.

Ngushtoni shtrirjen derisa të ketë kuptim. Hapja e portit VPN për gjithë internetin është e lehtë për t’u vërtetuar dhe e vështirë për t’u mbrojtur, ndërsa një rregull i gozhduar në një adresë thyhet kur klienti i provës ndryshon rrjet. Shënoni identifikuesin e rregullit dhe pronarin e politikës, që ndryshimi i radhës të gjurmohet deri te një person.

Konfirmoni dëgjuesin, pastaj zinxhirin e hyrjes

Në instancë, kontrolloni nëse procesi VPN është lidhur me adresën dhe portin që prisni, për shembull me ss -lntp 'sport = :1194'. Një demon i lidhur vetëm me 127.0.0.1 pranon klientë vendorë dhe asgjë përmes tunelit, gjë që nga jashtë duket saktësisht si port i filtruar.

Pastaj lexoni rregullat vendore në sintaksën që do të përdornit për t’i ndryshuar, si iptables -S INPUT ose nft list chain inet filter input. Një rregull i shkruar në një skedar por i ngarkuar kurrë, ose një hedhje parazgjedhëse pa leje përkatëse, i hedh paketat në heshtje. Për një portë përcjellëse, kontrolloni edhe cilësimet e përcjelljes dhe të shtegut të kthimit. Ato vendosin çfarë ndodh me paketat që rrugëtohen përmes instancës dhe nuk adresohen tek ajo.

Me gjendje në një shtresë, pa gjendje në tjetrën

Grupet e sigurisë i mbajnë mend rrjedhat që lejuan dhe i lënë përgjigjet të kthehen. Listat e kontrollit të aksesit të nënrrjeteve dhe shumë firewall-e të hostit nuk mbajnë një gjendje të tillë, ndaj një rregull që mbulon vetëm drejtimin dalës e kalon kërkesën dhe e hedh përgjigjen. Asnjëherë mos e çoni një supozim për trafikun e kthimit midis shtresave pa lexuar rregullin e shtresës së dytë (second layer's rule).

Numëruesit e zgjidhin këtë më shpejt se leximi i çdo rregulli në llogari. Një numërues që ngjitet do të thotë që paketa mbërriti dhe u hodh atje, ndërsa një i ngrirë në zero do të thotë që nuk arriti kurrë aq larg; iptables -vnL INPUT dhe nft list ruleset i tregojnë ato shifra kur rregullat u ngarkuan me numërues.

Provoni me një sesion të ri, jo me një të gjallë

Lërini rrjetin burim dhe profilin e provës të paprekur ndërsa krahasoni pamjet, dhe hapni një lidhje të re pas çdo ndryshimi. Arritja te konsola e uebit në 443 nuk thotë asgjë nëse demoni VPN është lidhur me 1194, ndaj provoni portin që ju nevojitet. Një sesion ekzistues është dëshmitari më i keq këtu. Ai vazhdon të punojë ndërsa çdo hyrje e re refuzohet.

Përpara se të redaktoni një politikë në distancë, siguroni një rrugë kthimi që nuk varet nga shtegu që po ndryshoni. Pastaj hapni një sesion të dytë administrimi pranë provës VPN: një i vendosur më herët mund t’i mbijetojë rregullit që bllokon të rejat. Shënoni të dy pronarët e politikave që asnjë rindërtim të mos rivendosë gjysmën e shtegut; nëse të dyja shtresat pajtohen dhe tuneli gjithsesi dështon, kapni në ndërfaqen e mysafirit dhe kontrolloni adresën dhe portin që klienti përdor vërtet.