Të drejtosh një VPN dhe një sajt në një host të vetëm pa përplasje

Kur ndani një host midis një sajti publik dhe një VPN, trashëgoni dy pyetje, jo një: çfarë dëgjon ku dhe kush vërteton kë. Përgjigjuni të dyjave para se të prekni një skedar konfigurimi, sepse vlerat e parazgjedhura janë të gabuara në mënyra që duken vetëm nën ngarkesë. Një faqe që ngarkohet përmes HTTPS dëshmon se dëgjuesi web përgjigjet dhe asgjë për dëgjuesin e partnerëve. Ajo që vijon është një rend vendimesh që i pengon të dy të hanë njëri-tjetrin.

Vendosni çfarë dëgjon në cilën adresë dhe transport

Shkruani një tabelë me tre kolona, adresa, transporti dhe porta, dhe një rresht për çdo shërbim, përfshirë ndërfaqen administrative. TCP 443 për sajtin dhe UDP 443 për VPN nuk janë përplasje edhe kur numrat përputhen, sepse transporti ndryshon. Dy shërbime në të njëjtën adresë, transport dhe portë kanë nevojë për një rregullim që implementimi e dokumenton, jo një që e shpikni gjatë një ndërprerjeje. Ajo tabelë është gjithashtu artefakti që e bën ndryshimin e radhës të verifikueshëm.

Adresa të ndara ose një portë e dytë e bëjnë pronësinë të dukshme në një kapje paketash, dhe kjo vlen më shumë se eleganca. Disa implementime VPN mbështesin ndarjen e një porte me një server web, por mekanizmi është specifik: demoni inspekton bajtët e parë dhe përcjell trafikun që nuk është protokolli i tij. Një proxy i kundërt HTTP i përgjithshëm nuk e bën këtë, dhe rishkrimi i kokave nuk do ta bëjë të kuptojë një shtrëngim duarsh të një tuneli të kriptuar. Lexoni shënimet e vendosjes së protokollit, si për shembull dokumentacioni i dëgjuesit OpenVPN, dhe ndiqni rregullimin që përshkruan.

Vendosni cili identitet i takon cilit shërbim

Një certifikatë shfletuesi dhe një kredencial partneri VPN janë objekte të ndryshme me modele besimi të ndryshme. Certifikata web vërtetohet nga një autoritet publik dhe emërton një emër hosti, ndërsa kredenciali i partnerit vërteton një pajisje ose një përdorues tek përqendruesi dhe mund të jetë vetë-nënshkruar ose i lëshuar brenda. Ripërdorimi i njërit si tjetri funksionon në raste të ngushta dhe rrallë ia vlen kjo lidhje. Çaktivizimi i verifikimit që një certifikatë e përbashkët të përshtatet nuk është plan ndarjeje; heq kontrollin që i dha kuptim kredencialit.

Mbani dy depozitat të pavarura dhe shkruani cili autoritet lëshon secilin. Kur njëra rrotullohet, tjetra nuk duhet të ketë nevojë për ndryshim, dhe nëse ka, lidhja është ajo që duhet rregulluar.

Vendosni ku jeton administrimi

Ndërfaqja administrative e VPN i takon një rruge administrimi, kurrë dëgjuesit publik, edhe kur hosti tashmë shërben internetin. Një server web në 443 nuk nënkupton që konsola e partnerëve duhet të jetë e arritshme nga kudo, dhe konsola është zakonisht objektivi me vlerë më të lartë. Lidheni me një adresë kthimi ose administrimi, kufizojeni sipas burimit dhe mbani një rrugë rikuperimi që nuk varet nga fakti që tuneli është lart. Rruga e rikuperimit ka rëndësi sepse dështimi i zakonshëm është të mbyllësh veten jashtë ndërsa rregullon bllokimin.

Shkruani rregulla të ngushta të murit të zjarrit, një për çdo dëgjues, duke emërtuar ndërfaqen ose llogarinë e shërbimit aty ku platforma e mbështet. Rregullat e gjera që hapin hostin sepse sajti ka nevojë për 443 janë mënyra se si ndërfaqet administrative përfundojnë në indekset e skanerëve.

Rishikoni ato rregulla kundrejt tabelës së dëgjuesve sa herë shtohet një shërbim. Rishikimi është i lirë dhe kap rregullin që dikush e shtoi në orën dy të mëngjesit.

Vendosni çfarë të bëni kur të dy garojnë

Ndarja e një hosti do të thotë ndarje e procesorit, memories, përshkruesve të skedarëve dhe gjerësisë së brezit, dhe burimi i kontestuar nuk është gjithmonë ai i dukshmi. Një sajt i zënë mund të mbushë tabelën e lidhjeve, të shterojë vendet e punës ose ta shtyjë radhën e diskut mjaftueshëm sa regjistrimi i VPN të ngecë. Shikoni përdorimin për shërbim dhe jo totalet e hostit, sepse një mesatare fsheh cili proces po vuan nga uria. Nëse një ngarkesë pengon vazhdimisht tjetrën, izolojini ato në vend që të rregulloni rreth simptomës.

Izolimi mund të jetë një kontejner, një kufi cgroup, një radhë e veçantë ose një host i dytë, dhe zgjedhja e saktë varet nga burimi që garon. Një ndryshim porte nuk rregullon asgjë këtu, dhe një instancë më e madhe nuk rregullon asgjë nëse kufiri është një radhë e ngopur. Vendosni me një matje: emërtoni burimin, ngarkojeni atë dhe më pas zgjidhni izolimin më të vogël që eliminon garën.

Verifikoni nga jashtë, pastaj përsëri pas një rindezjeje

Testoni nga një pajisje që nuk është në rrjetin e vetë hostit: ngarkoni sajtin, ngrini tunelin dhe arrini një burim që e kërkon. Pastaj rindizni çdo shërbim veçmas dhe përsëritni provën tjetër, sepse rindezja është momenti kur një rregullim i dëgjuesit të përbashkët humbet rendin e tij. Nëse VPN nis para serverit web që zotëron portën e përbashkët, mekanizmi i ndarjes mund të mos lidhet kurrë, dhe simptoma është një tunel që funksiononte dje. Bëjeni varësinë të qartë në rendin e njësive.

Pastaj konfirmoni kufijtë: sajti përgjigjet në portën e tij, VPN përgjigjet në të vetën, dhe ndërfaqja administrative përgjigjet vetëm nga rruga e administrimit. Shënoni rezultatin pranë tabelës së dëgjuesve me datën. Një host që i kalon të tre kontrollet pas një rindezjeje është një host që mund t'i dorëzohet dikujt tjetër pa një seancë informuese.