Kufizoni një dëgjues VPN në ndërfaqet që kishit në mendje

Një shërbim VPN është i arritshëm nga kudo ku socket-i i tij është i lidhur dhe muri i zjarrit lejon. Këto janë dy vendime të ndara, dhe njerëzit zakonisht marrin vetëm njërin prej tyre. Leximi i dëgjuesit real kërkon dhjetë sekonda dhe zgjidh një pyetje që hamendja nuk mund ta zgjidhë. Filloni atje, pastaj ndryshoni një kontroll në një kohë.

Çdo gjë më poshtë supozon se mund të ekzekutoni komanda në host me root ose sudo.

Lexoni socket-et para se të ndryshoni ndonjë gjë

Në Linux, ss -lunp liston dëgjuesit UDP me adresën lokale, portin dhe procesin e tyre, dhe ss -ltnp bën të njëjtën gjë për TCP. Gjeni portin e VPN dhe lexoni me kujdes kolonën e adresës. 0.0.0.0:51820 dhe [::]:51820 nënkuptojnë çdo ndërfaqe, ndërsa 10.0.0.5:51820 nënkupton një adresë në një ndërfaqe. Manual i ss dokumenton kolonat nëse dalja është e panjohur. Nëse mungon emri i procesit, ekzekutoni të njëjtën komandë me sudo, sepse kolona e pronarit kërkon privilegj.

Shkruani adresën. Është fakti nga i cili varet pjesa tjetër e këtij udhëzuesi.

Lidhuni me një adresë, jo me një dëshirë

OpenVPN e lidh dëgjuesin me një adresë të caktuar me direktivën local, dhe kjo është mënyra e mbështetur për ta kufizuar në nivel procesi. Jo çdo implementim ofron një ekuivalent, dhe një protokoll pa opsion lidhjeje nuk mund të ngushtohet në këtë mënyrë. Nëse i juaji nuk ka asnjë, muri i zjarrit është kontrolli juaj i vetëm, dhe shënimet e vendosjes duhet ta thonë këtë haptazi. Në një host me disa adresa, lidhuni me atë që shikon drejt tunelit; lidhja me një adresë që lëviz është zakonisht gabim.

Një shërbim që duhet t'i mbijetojë një ndryshimi adrese ka nevojë për një plan për lidhjen e vjetruar, jo vetëm një rresht konfigurimi.

Kontrolloni familjen e adresave veçmas

IPv4 dhe IPv6 janë socket-e të ndara. Një proces i lidhur me 0.0.0.0 mund të pranojë ende IPv6 përmes një socket-i me dy shtresa, ose jo, varësisht nga opsioni i socket-it dhe vlera e parazgjedhur e platformës. Leximi i vetëm rreshtit IPv4 ka mashtruar më shumë se një rishikim vendosjeje. Listoni të dyja familjet përpara se të konkludoni që dëgjuesi është i ngushtë.

Nëse IPv6 nuk është pjesë e projektimit, çaktivizimi i tij në nivel socket-i është më i pastër sesa të shpresoni që muri i zjarrit ta mbulojë. Është një vendim politike, prandaj regjistrojeni bashkë me zgjedhjet e tjera të ndërfaqes.

Shtresoni murin e zjarrit mbi lidhjen

Një lidhje e ngushtë nuk zëvendëson një rregull muri zjarri, dhe një rregull muri zjarri nuk e ngushton një lidhje wildcard. Përdorni të dyja: lidhuni aty ku implementimi e mbështet, pastaj lejoni portin vetëm nga burimet që duhet ta arrijnë. Grupet e sigurisë në cloud qëndrojnë përpara murit të zjarrit të host-it, prandaj kontrolloni të dyja kur rruga kalon një kufi VPC. Rregulli efektiv është kryqëzimi i të dyjave, dhe çdo shtresë mund vetëm të heqë arritshmërinë.

Testoni nga një burim i lejuar dhe nga një i përjashtuar qëllimisht. Një lidhje nga localhost nuk provon asgjë për kufirin publik.

Regjistroni çfarë zgjodhët

Shkruani adresën e lidhur, ndërfaqen që e zotëron, rregullin e murit të zjarrit dhe qëllimin e tij. Një NIC zëvendësuese ose një adresë cloud e ricaktuar mund të ndryshojë ekspozimin pa redaktuar askush profilin. Datoni shënimin, sepse adresat cloud lëvizin midis rishikimeve më shpesh sesa presin njerëzit.

Ky shënim është ai që e kthen rishikimin e ardhshëm në një krahasim në vend të një projekti arkeologjik.