จำกัดผู้รับฟัง VPN ให้เหลือเฉพาะอินเทอร์เฟซที่คุณตั้งใจ

บริการ VPN เข้าถึงได้จากทุกที่ที่ซ็อกเก็ตผูกอยู่และไฟร์วอลล์อนุญาต สิ่งเหล่านี้เป็นการตัดสินใจสองอย่างแยกกัน และคนมักเลือกทำเพียงอย่างเดียว การอ่านผู้รับฟังจริงใช้เวลาสิบวินาทีและตอบคำถามที่การเดาทำไม่ได้ เริ่มจากตรงนั้น แล้วเปลี่ยนการควบคุมทีละอย่าง

ทุกอย่างด้านล่างนี้ถือว่าคุณสามารถเรียกใช้คำสั่งบนโฮสต์ด้วย root หรือ sudo

อ่านซ็อกเก็ตก่อนเปลี่ยนอะไร

บน Linux ss -lunp แสดงรายการผู้รับฟัง UDP พร้อมที่อยู่ท้องถิ่น พอร์ต และโปรเซส และ ss -ltnp ทำเช่นเดียวกันกับ TCP ค้นหาพอร์ตของ VPN แล้วอ่านคอลัมน์ที่อยู่ให้ละเอียด 0.0.0.0:51820 และ [::]:51820 หมายถึงทุกอินเทอร์เฟซ ขณะที่ 10.0.0.5:51820 หมายถึงที่อยู่หนึ่งบนอินเทอร์เฟซหนึ่ง คู่มือ ss อธิบายคอลัมน์ไว้หากเอาต์พุตไม่คุ้นเคย หากไม่มีชื่อโปรเซส ให้เรียกใช้คำสั่งเดิมด้วย sudo เพราะคอลัมน์เจ้าของต้องใช้สิทธิ์

จดที่อยู่ไว้ นั่นคือข้อเท็จจริงที่ส่วนที่เหลือของคู่มือนี้พึ่งพา

ผูกกับที่อยู่ ไม่ใช่ความปรารถนา

OpenVPN ผูกผู้รับฟังกับที่อยู่ที่เจาะจงด้วยคำสั่ง local และนั่นคือวิธีที่รองรับในการจำกัดมันในระดับโปรเซส ไม่ใช่ทุกการนำเสนอจะมีสิ่งที่เทียบเท่า และโปรโตคอลที่ไม่มีตัวเลือกในการผูกก็ไม่สามารถแคบลงด้วยวิธีนี้ได้ หากของคุณไม่มีเลย ไฟร์วอลล์คือการควบคุมเดียวของคุณ และบันทึกการติดตั้งควรระบุอย่างชัดเจน บนโฮสต์ที่มีหลายที่อยู่ ให้ผูกกับที่อยู่ที่หันไปทางอุโมงค์ การผูกกับที่อยู่ที่ลอยไปมามักเป็นความผิดพลาด

บริการที่ต้องอยู่รอดจากการเปลี่ยนที่อยู่ต้องมีแผนสำหรับการผูกที่ล้าสมัย ไม่ใช่แค่บรรทัดการกำหนดค่า

ตรวจสอบตระกูลที่อยู่แยกกัน

IPv4 และ IPv6 เป็นซ็อกเก็ตแยกกัน โปรเซสที่ผูกกับ 0.0.0.0 อาจยังรับ IPv6 ผ่านซ็อกเก็ตแบบ dual-stack หรืออาจไม่รับ ขึ้นอยู่กับตัวเลือกซ็อกเก็ตและค่าเริ่มต้นของแพลตฟอร์ม การอ่านเฉพาะบรรทัด IPv4 ได้หลอกการทบทวนการติดตั้งมากกว่าหนึ่งครั้ง ระบุทั้งสองตระกูลก่อนสรุปว่าผู้รับฟังแคบ

หาก IPv6 ไม่ใช่ส่วนหนึ่งของการออกแบบ การปิดใช้งานในระดับซ็อกเก็ตสะอาดกว่าการหวังว่าไฟร์วอลล์จะครอบคลุมมัน นี่เป็นการตัดสินใจเชิงนโยบาย จึงบันทึกไว้พร้อมตัวเลือกอินเทอร์เฟซอื่นๆ

วางไฟร์วอลล์ซ้อนบนการผูก

การผูกที่แคบไม่ใช่สิ่งทดแทนกฎไฟร์วอลล์ และกฎไฟร์วอลล์ไม่ได้ทำให้การผูกแบบ wildcard แคบลง ใช้ทั้งสองอย่าง ผูกในที่ที่การนำเสนอรองรับ แล้วอนุญาตพอร์ตจากแหล่งที่ควรเข้าถึงเท่านั้น กลุ่มความปลอดภัยบนคลาวด์อยู่หน้าไฟร์วอลล์ของโฮสต์ จึงตรวจสอบทั้งสองเมื่อเส้นทางข้ามขอบเขต VPC กฎที่มีผลคือส่วนตัดของทั้งสอง และแต่ละชั้นทำได้เพียงลดการเข้าถึง

ทดสอบจากแหล่งที่อนุญาตและจากแหล่งที่ตั้งใจตัดออก การเชื่อมต่อจาก localhost ไม่พิสูจน์อะไรเกี่ยวกับขอบเขตสาธารณะ

บันทึกสิ่งที่คุณเลือก

จดที่อยู่ที่ผูก อินเทอร์เฟซที่เป็นเจ้าของ กฎไฟร์วอลล์ และวัตถุประสงค์ของมัน NIC ที่เปลี่ยนใหม่หรือที่อยู่คลาวด์ที่จัดสรรใหม่สามารถเปลี่ยนการเปิดเผยโดยไม่มีใครแก้ไขโปรไฟล์ ลงวันที่ในบันทึก เพราะที่อยู่คลาวด์เคลื่อนย้ายระหว่างการทบทวนบ่อยกว่าที่คนคาดคิด

บันทึกนั้นคือสิ่งที่ทำให้การทบทวนครั้งถัดไปเป็นการเปรียบเทียบ ไม่ใช่โครงการโบราณคดี