VPN சேவையகத்திற்கான கிளவுட் ஃபயர்வால் மற்றும் ஹோஸ்ட் ஃபயர்வால்

கிளவுட் கொள்கையில் VPN துறைக்கு அனுமதி வழங்கினாலும் கைக்குலுக்கல் இன்ஸ்டன்ஸில் இன்னும் இறக்கலாம்: விருந்தினர் தனது சொந்த வடிகட்டியையும் தனது சொந்த கேட்பான் இணைப்பையும் இயக்குகிறார், இவற்றில் எதுவும் கிளவுட் அனுமதித்ததை தூக்கி எறியலாம். எதிர்மறையும் நடக்கும், ஹோஸ்ட் விதி துறையை அனுமதிக்கும்போது மேலேயுள்ள கொள்கை அதை முதலில் தூக்கி எறிகிறது. இரண்டு உரிமையாளர்கள், இரண்டு விதித் தொகுப்புகள், ஒரே பாக்கெட் பாதை. மிகவும் சந்தேகத்திற்குரிய அடுக்கில் ஊகிப்பதற்குப் பதிலாக அதை வரிசையாக நடவுங்கள்.

விளிம்பில் தொடங்கி உள்ளே செல்லுங்கள்

வரிசை நிலையானது: பொது முனை, வள ஆற்றல் முகப்பு, இணைக்கப்பட்ட கிளவுட் கொள்கை, விருந்தினர் முகவரி, செயல்முறை கேட்பான், உள்ளூர் உள்ளீட்டு விதிகள். ஒவ்வொரு நிலையும் பாக்கெட்டைக் கடத்துகிறது அல்லது விசாரணையை முடிக்கிறது, அதனால் விருந்தினரிடமிருந்து தொடங்குவது அதிக நேரத்தை வீணாக்குகிறது.

முன்னனுப்பப்பட்ட வாடிக்கையாளர் போக்குவரத்து தனி நிலை, சுரங்கப்பாதை விடுவிக்கப்பட்ட பிறகு ஆராயப்படுகிறது. கிளவுட் அடுக்கு வெளிப்புற சுரங்கப்பாதையை மட்டுமே பார்க்கிறது, எனவே இது ஒரு இணைப்பை அனுமதித்தாலும் உள் சேவை கோரிக்கையுடன் எந்தத் தொடர்பும் இல்லாமல் இருக்கலாம். இணைக்கப்படும் ஆனால் உள் ஹோஸ்ட்டை அடையாத சுரங்கப்பாதை பொதுவாக முன்னனுப்பலைக் குறிக்கிறது, மூடிய துறையை அல்ல.

விருந்தினரைத் தொடுவதற்கு முன் கிளவுட் கொள்கையைப் படியுங்கள்

VPN துறையின் உள்வரும் விதி, அதன் நெறிமுறை மற்றும் உங்கள் சோதனை வாடிக்கையாளருடன் பொருந்தும் மூல வரம்பை உறுதிப்படுத்துங்கள். சப்நெட் அணுகல் கட்டுப்பாட்டுப் பட்டியலையும் பாருங்கள்: தனது சொந்த விதிகள் மற்றும் இயல்புநிலைகளைக் கொண்ட இரண்டாவது வடிகட்டி. பாக்கெட் இன்ஸ்டன்ஸை அடைவதற்கு முன் இரண்டும் ஓட்டத்தை அனுமதிக்க வேண்டும். ஒன்றில் அனுமதியும் மற்றொன்றில் மறுப்பும் இந்தப் பிழையின் வழக்கமான வடிவம்.

வரம்பை அர்த்தமுள்ளதாக இருக்கும் வரை குறைக்கவும். VPN துறையை முழு இணையத்திற்கும் திறப்பது நிரூபிக்க எளிது, பாதுகாக்க கடினம், ஆனால் ஒரு முகவரியில் பொருத்தப்பட்ட விதி உங்கள் சோதனை வாடிக்கையாளர் நெட்வொர்க்கை மாற்றும்போது உடைகிறது. விதியின் அடையாளத்தையும் கொள்கையின் உரிமையாளரையும் குறிப்பெடுங்கள், அடுத்த மாற்றம் ஒரு நபர் வரை தேடப்படும்.

முதலில் கேட்பான், பின்னர் உள்ளீட்டுச் சங்கிலி

இன்ஸ்டன்ஸில், VPN செயல்முறை நீங்கள் எதிர்பார்க்கும் முகவரி மற்றும் துறையுடன் பிணைக்கப்பட்டுள்ளதா எனச் சரிபாருங்கள், உதாரணமாக ss -lntp 'sport = :1194' மூலம். 127.0.0.1 உடன் மட்டும் பிணைந்த டீமான் உள்ளூர் வாடிக்கையாளர்களை ஏற்றுக்கொள்கிறது, சுரங்கப்பாதை வழியாக எதையும் ஏற்றுக்கொள்ளாது, இது வெளியிலிருந்து பார்க்கும்போது சரியாக வடிகட்டப்பட்ட துறை போலவே தெரிகிறது.

பின்னர் உள்ளூர் விதிகளை அவற்றை மாற்ற நீங்கள் பயன்படுத்தும் அதே இலக்கணத்தில் படியுங்கள், உதாரணமாக iptables -S INPUT அல்லது nft list chain inet filter input. கோப்பில் எழுதப்பட்டு ஒருபோதும் ஏற்றப்படாத விதி, அல்லது பொருந்தும் அனுமதி இல்லாத இயல்புநிலை நீக்கம், பாக்கெட்டுகளை அமைதியாகத் தூக்கி எறிகிறது. முன்னனுப்பும் நுழைவாயிலுக்கு முன்னனுப்பு மற்றும் தலைகீழ் பாதை அமைப்புகளையும் சரிபாருங்கள். இன்ஸ்டன்ஸுக்கு முகவரியிடப்படாத, அதன் வழியாக வழித்தடப்படும் பாக்கெட்டுகளுக்கு என்ன நடக்கும் என்பதை அவையே தீர்மானிக்கின்றன.

ஒரு அடுக்கில் நிலையுடன், அடுத்ததில் நிலையின்றி

பாதுகாப்புக் குழுக்கள் தாங்கள் அனுமதித்த ஓட்டங்களை நினைவில் வைத்து பதில்களை மீண்டும் உள்ளே அனுமதிக்கின்றன. சப்நெட் அணுகல் கட்டுப்பாட்டுப் பட்டியல்களும் பல ஹோஸ்ட் ஃபயர்வால்களும் அத்தகைய நிலையை வைத்திருப்பதில்லை, எனவே வெளிச்செல்லும் திசையை மட்டும் உள்ளடக்கும் விதி கோரிக்கையைக் கடத்தி பதிலைத் தூக்கி எறிகிறது. இரண்டாம் அடுக்கின் விதியைப் படிக்காமல் அடுக்குகளுக்கிடையே திரும்பும் போக்குவரத்து பற்றிய ஊகத்தை ஒருபோதும் எடுத்துச் செல்ல வேண்டாம் (second layer's rule).

கணக்கில் உள்ள ஒவ்வொரு விதியையும் படிப்பதை விட கவுண்டர்கள் இதை விரைவாகத் தீர்க்கின்றன. ஏறும் கவுண்டர் என்பது பாக்கெட் அங்கு வந்து அங்கேயே தூக்கி எறியப்பட்டது என்று பொருள், பூஜ்ஜியத்தில் உறைந்தது என்பது அது அங்கு வரை ஒருபோதும் செல்லவில்லை என்று பொருள்; விதிகள் கவுண்டர்களுடன் ஏற்றப்பட்டால் iptables -vnL INPUT மற்றும் nft list ruleset அந்த எண்களைக் காட்டுகின்றன.

உயிருள்ள அமர்வால் அல்ல, புதிய அமர்வால் சோதியுங்கள்

காட்சிகளை ஒப்பிடும்போது மூல நெட்வொர்க்கையும் சோதனைச் சுயவிவரத்தையும் தொடாதீர்கள், ஒவ்வொரு மாற்றத்திற்குப் பிறகும் புதிய இணைப்பைத் திறங்கள். 443 இல் உள்ள வலைப் பணியகத்தை அடைவது VPN டீமான் 1194 உடன் பிணைந்துள்ளதா என்பதைப் பற்றி எதையும் கூறாது, எனவே உங்களுக்குத் தேவையான துறையைச் சோதியுங்கள். ஏற்கனவே உள்ள அமர்வு இங்கே மோசமான சாட்சி. ஒவ்வொரு புதிய உள்நுழைவும் மறுக்கப்படும்போதும் அது தொடர்ந்து செயல்படுகிறது.

தொலை கொள்கையைத் திருத்துவதற்கு முன் நீங்கள் மாற்றும் பாதையைச் சாராத திரும்பும் வழியை உறுதிப்படுத்துங்கள். பின்னர் VPN சோதனைக்கு அருகில் இரண்டாவது நிர்வாக அமர்வைத் திறங்கள்: முன்பு நிறுவப்பட்ட ஒன்று புதியவற்றைத் தடுக்கும் விதியை விட நீண்ட காலம் வாழலாம். இரண்டு கொள்கைகளின் உரிமையாளர்களையும் குறிப்பெடுங்கள், எந்த மறுகட்டமைப்பும் பாதியை மீட்டெடுக்காமல் இருக்க; இரு அடுக்குகளும் ஒத்துக்கொண்டும் சுரங்கப்பாதை தோல்வியடைந்தால், விருந்தினர் முகப்பில் பதிவு செய்து வாடிக்கையாளர் உண்மையில் பயன்படுத்தும் முகவரி மற்றும் துறையைச் சரிபாருங்கள்.