Покретање VPN-а и сајта на једном хосту без сукоба

Када делите један хост између јавног сајта и VPN-а, наслеђујете два питања, а не једно: шта слуша где и ко кога аутентификује. Одговорите на оба пре него што додирнете конфигурациону датотеку, јер су подразумеване вредности погрешне на начине који се виде само под оптерећењем. Страница која се учитава преко HTTPS-а доказује да веб слушалац одговара и ништа о слушаоцу партнера. Следи редослед одлука који спречава да једно поједе друго.

Одлучите шта слуша на којој адреси и транспорту

Напишите табелу са три колоне, адреса, транспорт и порт, и један ред по услузи, укључујући административни интерфејс. TCP 443 за сајт и UDP 443 за VPN нису сукоб чак и када се бројеви поклопе, јер се транспорт разликује. Две услуге на истој адреси, транспорту и порту захтевају распоред који имплементација документује, а не онај који смишљате током испада. Та табела је и артефакт који следећу измену чини проверљивом.

Одвојене адресе или други порт чине власништво видљивим у снимку пакета, и то вреди више од елеганције. Неке VPN имплементације подржавају дељење порта са веб сервером, али механизам је специфичан: демон прегледа прве бајтове и прослеђује саобраћај који није његов протокол. Општи обрнути прокси за HTTP то не ради, а преписивање заглавља неће га научити да разуме руковање шифрованог тунела. Прочитајте белешке о распоређивању протокола, као што је документација слушаоца OpenVPN-а, и следите распоред који описује.

Одлучите који идентитет припада којој услузи

Сертификат прегледача и уверенье VPN партнера су различити објекти са различитим моделима поверења. Веб сертификат валидира јавно тело и именује име хоста, док уверенье партнера аутентификује уређај или корисника код концентратора и може бити самопотписно или издато интерно. Поновна употреба једног као другог ради у уским случајевима и ретко вреди то повезивање. Искључивање провере да би заједнички сертификат одговарао није план раздвајања; оно уклања проверу која је уверену давала смисао.

Држите два складишта независним и запишите које тело издаје свако. Када се једно ротира, друго не би требало да захтева измену, а ако захтева, повезивање је оно што треба поправити.

Одлучите где живи администрација

Административни интерфејс VPN-а припада путањи управљања, никада јавном слушаоцу, чак и када хост већ служи интернет. Веб сервер на 443 не значи да конзола партнера треба да буде доступна са сваког места, а конзола је обично мета веће вредности. Вежите је за повратну или управљачку адресу, ограничите је по извору и држите путању опоравка која не зависи од тога да ли је тунел подигнут. Путања опоравка је важна јер је уобичајени квар закључавање себе напољу док поправљате брану.

Пишите уска правила заштитног зида, по једно за сваког слушаоца, именујући интерфејс или сервисни налог где то платформа подржава. Широка правила која отварају хост јер сајту треба 443 су начин на који административни интерфејси заврше у индексима скенера.

Прегледајте та правила према табели слушалаца сваки пут када се дода услуга. Преглед је јефтин и хвата правило које је неко додао у два ујутру.

Одлучите шта да радите када се њих двоје споре

Дељење хоста значи дељење процесора, меморије, датотечних дескриптора и пропусног опсега, а спорни ресурс није увек очигледан. Заузет сајт може да напуни табелу веза, исцрпи радна места или притисне ред диска довољно јако да се евидентирање VPN-а заустави. Гледајте потрошњу по услузи, а не укупне бројке хоста, јер просек крије који процес гладује. Ако једно оптерећење редовно омета друго, изолујте их уместо да подешавате око симптома.

Изолација може бити контејнер, cgroup ограничење, одвојен ред или други хост, а прави избор зависи од тога који се ресурс спори. Промена порта овде ништа не поправља, а већа инстанца ништа не поправља ако је ограничење један засићен ред. Одлучите мерењем: именујте ресурс, оптеретите га, затим изаберите најмању изолацију која уклања спору.

Проверите споља, затим поново након рестартовања

Тестирајте са уређаја који није на мрежи самог хоста: учитајте сајт, подигните тунел и стигните до једног ресурса који га захтева. Затим рестартујте сваку услугу одвојено и поновите други тест, јер је рестартовање тренутак када распоред заједничког слушаоца губи свој редослед. Ако VPN стартује пре веб сервера који поседује заједнички порт, механизам дељења се можда никада неће прикачити, а симптом је тунел који је јуче радио. Учините зависност изричитом у редоследу јединица.

Затим потврдите границе: сајт одговара на свом порту, VPN одговара на свом, а административни интерфејс одговара само са путање управљања. Запишите резултат поред табеле слушалаца са датумом. Хост који прође све три провере након рестартовања је хост који можете предати неком другом без брифинга.