VPN-க்கு மட்டும் NGINX தளம்: கேட்பான், ஃபயர்வால் மற்றும் HTTP அனுமதிப் பட்டியல்

தனிப்பட்ட தளத்திற்கும் இணையத்திற்கும் இடையே மூன்று சுயாதீன முடிவுகள் உள்ளன: எந்த சாக்கெட் இணைப்பை ஏற்கிறது, எந்தப் பாதை அதைக் கொண்டு சேர்க்க முடியும், தேர்ந்தெடுத்த சர்வர் எந்த HTTP வாடிக்கையாளர்களுக்குப் பதிலளிக்கிறது. சர்வர் தொகுதி முதல் முடிவை மட்டுமே எடுக்கிறது. மற்ற இரண்டையும் தனித்தனி கட்டுப்பாடுகளாகக் கருதுங்கள், இல்லையெனில் பழைய நுழைவாயில் திறந்திருக்கும்போது தளம் தனிப்பட்டதாகத் தோன்றும். VPN-க்கு மட்டும் எனும் NGINX தோல்விகளில் பெரும்பாலானவை முதல் அடுக்கை மட்டும் சோதிப்பதால் வருகின்றன.

எடுத்துக்காட்டு tun0 இல் 10.90.0.1 இல் Linux OpenVPN நுழைவாயில், 10.90.0.0/24 இல் வாடிக்கையாளர்கள், பாதுகாக்கப்பட்ட மூலங்கள் மற்றும் இந்த நுழைவுக்கு ஒதுக்கப்பட்ட TCP 8443 ஐப் பயன்படுத்துகிறது. மதிப்புகளைச் சரிசெய்யுங்கள், அடுக்குகளை வைத்திருங்கள்.

ஹோஸ்ட்பெயரில் அல்ல, சாக்கெட்டில் தொடங்குங்கள்

HTTPS கேட்பானை சுரங்கப்பாதை முகவரி மற்றும் தனி துறைமுகத்துடன் பிணைக்கவும். குறிப்பிட்ட முகவரியைப் பற்றி சிந்திப்பது வைல்ட்கார்ட் சாக்கெட் மற்றும் பெயர் சரிபார்ப்பை விட எளிது, ஏனெனில் கர்னல் துறைமுகத்தை மற்றொரு உள்ளூர் முகவரிக்கு வழங்காது.

server {
    listen 10.90.0.1:8443 ssl;
    server_name admin.corp.example;

    ssl_certificate     /etc/nginx/tls/admin-fullchain.pem;
    ssl_certificate_key /etc/nginx/tls/admin-key.pem;

    root /srv/private-site;

    allow 10.90.0.0/24;
    deny all;

    location / {
        try_files $uri $uri/ =404;
    }
}

சான்றிதழில் வாடிக்கையாளர்கள் தட்டச்சு செய்யும் சேவை ஹோஸ்ட்பெயர் இருக்க வேண்டும், தனியுரிம DNS காட்சி அந்த ஹோஸ்டை பிணைக்கப்பட்ட முகவரிக்குத் தீர்க்க வேண்டும். server_name ஒரு மெய்நிகர் ஹோஸ்டை மட்டும் தேர்ந்தெடுக்கிறது; அது யாரையும் அங்கீகரிக்கவில்லை. DNS பதிவு இல்லாவிட்டால் TLS குறைபாடு போலத் தோன்றும் சான்றிதழ் பிழை ஏற்படும். சான்றிதழை மாற்றுவதற்கு முன் பெயரைச் சரிபார்க்கவும்.

கோப்பைச் சேர்ப்பதற்கு முன் பயனுள்ள உள்ளமைவைப் படியுங்கள். சேர்ப்புகள் மற்றும் வைல்ட்கார்ட் கேட்பான்கள் அதே மூலத்தை வேறெங்கும் வழங்கலாம், மேலும் இயல்புநிலை சர்வர் புதிய தொகுதி ஒருபோதும் காணாத கோரிக்கைகளுக்குப் பதிலளிக்கலாம்.

அந்த உள்ளடக்கத்திற்கான மற்ற ஒவ்வொரு கேட்பானையும் மூடுங்கள்

listen வழிமுறைகளைப் பட்டியலிட்டு அவை வழங்கும் மூலங்களை ஒப்பிடுங்கள். வேறு பயன்பாட்டிற்காகச் சேர்க்கப்பட்ட தொகுதி அதே upstream-க்கு ப்ராக்ஸி செய்யலாம், பழைய இயல்புநிலை சர்வர் புதியது நிறுவப்பட்ட பிறகும் பதிலளிக்கலாம். அந்த வெளியீடே உண்மையான பட்டியல், நீங்கள் இப்போது திருத்திய கோப்பு அல்ல. அதே உள்ளடக்கத்தை வழங்கும் ஒவ்வொரு மூலத்தையும் ஒப்பிடுங்கள்.

sudo nginx -T | grep -n "listen\|server_name\|root\|proxy_pass"

இரண்டு முகவரி குடும்பங்களையும் சரிபார்க்கவும். IPv4 பிணைப்பு IPv6 சாக்கெட்டைத் தொடாமல் விடுகிறது, புதிய A பதிவு இன்னும் பொது பாதையைச் சுட்டிக்காட்டும் பழைய AAAA பதிலை வாபஸ் பெறாது.

பழைய மெய்நிகர் ஹோஸ்டை தனி மாற்றமாக நீக்குங்கள். புதிய தொகுதியின் பொது இரட்டையை அகற்றுவதே நுழைவாயிலை உண்மையில் மூடும் படி; தனியுரிம கேட்பான் நோக்கியதை மட்டும் சேர்க்கிறது.

ஹோஸ்ட்டில் உள்வரும் பாதையின் எல்லையை வரையறுக்கவும்

கேட்கும் முகவரி சாக்கெட்டை வரம்பிடுகிறது, உள்வரும் இடைமுகத்தை அல்ல. வேறெங்கிருந்து அந்த முகவரிக்கு வழிமாற்றப்பட்ட பாக்கெட் உள்ளூர் உள்ளீடாகவே வருகிறது, எனவே ஹோஸ்ட் ஃபயர்வாலுக்கு இணைப்பு எங்கிருந்து வரலாம் என்பது குறித்து அதன் சொந்த அறிக்கை தேவை. அதனால்தான் பிணைப்பு மட்டும் அரிதாகவே தணிக்கையைப் பூர்த்தி செய்கிறது.

இயல்புநிலை மறுப்பு உள்வரும் கொள்கை மற்றும் இந்தச் சேவைக்கு பரந்த அனுமதி இல்லாத நிலையில், வரம்பிடப்பட்ட விதி சுரங்கப்பாதை, மூல வரம்பு, இலக்கு மற்றும் துறைமுகத்தை ஒன்றாகக் குறிப்பிடுகிறது:

sudo ufw allow in on tun0 proto tcp from 10.90.0.0/24 to 10.90.0.1 port 8443

பயன்படுத்துவதற்கு முன் பயனுள்ள ஃபயர்வால் வரிசையைப் படியுங்கள். முந்தைய பரந்த ஏற்பு கட்டுப்பாட்டை முறியடிக்கலாம், முந்தைய இறுதி நிராகரிப்பு இந்த அனுமதியை அடைவதைத் தடுக்கலாம். எடுத்துக்காட்டு பொருந்தும் வகையில் தொடர்பில்லாத விதிகளை அழிக்கவோ ஃபயர்வாலை அணைக்கவோ வேண்டாம்.

அந்த விதி ஹோஸ்ட் உள்ளீடு, வேறு LAN இயந்திரத்திற்கான பாதை அல்ல, மேலும் நுழைவாயிலின் வெளிப்புற OpenVPN கேட்பான் தனி சேவையாகவே இருக்கும். தளம் முன்பு பொதுவாக இருந்தால், பழைய நுழைவு எவ்வாறு நீக்கப்படும், ஏற்கனவே உள்ள அமர்வுகள் எவ்வாறு கையாளப்படும் என்பதைத் திட்டமிடுங்கள்.

இருப்பிடங்கள் மாறும்போது HTTP பட்டியலை முழுமையாக வைத்திருங்கள்

NGINX allow மற்றும் deny பதிவுகளை வரிசையாக மதிப்பிடுகிறது, மேலே உள்ள சர்வர் நிலை பட்டியல் இறுதி deny-க்கு முன் அறிவிக்கப்பட்ட குழுவை அனுமதிக்கிறது. அணுகல் தொகுதி, எந்த அணுகல் பதிவையும் வரையறுக்கும் இருப்பிடம் பெற்றோர் பட்டியலுக்குப் பதிலாக அதன் சொந்த பட்டியலைப் பயன்படுத்துகிறது என்பதையும் பதிவு செய்கிறது. வரிசை பதிவுகளைப் போலவே முக்கியம்.

அந்த மீட்டமைப்பே வழக்கமான பின்னடைவு. ஒரு பதிவைச் சேர்க்கும் புதிய பதிவேற்றம், API அல்லது சுகாதார இருப்பிடம் சர்வர் நிலை கட்டுப்பாட்டை அமைதியாக மாற்றுகிறது, மேலும் தளம் சமீபத்தில் சேர்க்கப்பட்ட பாதையில் அகலமாகிறது.

ஒவ்வொரு இருப்பிடம், மாற்றுப்பெயர் மற்றும் மாற்றுத் தொகுதியையும் ஒரே கொள்கையின் பகுதியாக மதிப்பாய்வு செய்யுங்கள். IP சரிபார்ப்புகள் NGINX அங்கீகாரத்துடன் இணைந்தால், satisfy புரிந்து கொள்ளுங்கள்: any அமைப்பு ஒரு வழிமுறையில் வாடிக்கையாளரை உள்ளே அனுமதிக்கலாம், மற்றொன்று இன்னும் தேர்ச்சி பெறவில்லை. அணுகல் பட்டியலை இருப்பிட மதிப்பாய்வு சரிபார்ப்புப் பட்டியலில் சேர்க்கவும்.

HTTP மறுப்பு TCP இணைப்பு NGINX-ஐ அடைந்த பிறகு நிகழ்கிறது. இது பிணையக் கட்டுப்பாட்டை நிறைவு செய்கிறது, பயன்பாட்டின் சொந்த அங்கீகாரம் ஒவ்வொரு பயனருக்கும் இன்னும் பொருந்தும்.

நேரடிப் பாதை மற்றும் தோல்வி நிலையைச் சரிபார்க்கவும்

உள்ளமைவு பாகுபடுத்தியை இயக்கி, கேட்கும் சாக்கெட்டுகளை ஆய்வு செய்து, பின்னர் நோக்கிய வாடிக்கையாளரிடமிருந்து புதிய பெயரிடப்பட்ட கோரிக்கையைச் செய்யுங்கள். சான்றிதழ் செல்லுபடியாகிறது, DNS பெயர் பிணைக்கப்பட்ட முகவரிக்குத் தீர்கிறது, பதில் எதிர்பார்க்கப்பட்ட மூலத்திலிருந்து வருகிறது என்பதை உறுதிப்படுத்துங்கள்.

அடுத்து விலக்கப்பட்ட மூலம் மற்றும் மாற்று நுழைவைச் சோதிக்கவும். வேலை செய்யும் அனுமதிக்கப்பட்ட கோரிக்கை நீங்கள் மூட விரும்பிய பாதைகளைப் பற்றி எதுவும் கூறாது, விலக்கப்பட்ட சோதனையில்தான் மீதமுள்ள கேட்பான் அல்லது பரந்த ஃபயர்வால் ஏற்பு தோன்றும்.

துவக்கம் அல்லது VPN மீட்பு நிலையை மீண்டும் செய்யுங்கள். சுரங்கப்பாதை முகவரி இருப்பதற்கு முன் NGINX தொடங்கினால், சரியான கோப்புடன் கூட பிணைப்பு தோல்வியடையலாம். முகவரி தயார்நிலையை ஒருங்கிணைத்து, பகிரப்பட்ட வெப் சர்வரை மாற்றுவதற்கு முன் உள்ளூர் மீட்புப் பாதையை வைத்திருங்கள்.

கடந்த சாக்கெட், துறைமுகம், மூல வரம்பு மற்றும் HTTP பட்டியலைப் பதிவு செய்யுங்கள். அடுத்த VPN அல்லது DNS மாற்றம் அவற்றில் எதையும் நகர்த்தலாம், நான்கு பெயரிடப்பட்ட மதிப்புகளை வேலை செய்யும் உலாவி தாவலை விட ஒப்பிட எளிது.