Limitahan ang isang VPN listener sa mga interface na nilalayon mo

Ang isang serbisyong VPN ay maaabot mula saanman nakatali ang socket nito at pinapayagan ng firewall nito. Ito ay dalawang magkahiwalay na desisyon, at karaniwang isa lang sa kanila ang ginagawa ng mga tao. Ang pagbasa sa aktwal na listener ay tumatagal ng sampung segundo at nilulutas ang isang tanong na hindi kayang lutasin ng hula. Magsimula doon, pagkatapos ay palitan ang isang kontrol sa bawat pagkakataon.

Ipinapalagay ng lahat ng nasa ibaba na maaari kang magpatakbo ng mga command sa host gamit ang root o sudo.

Basahin ang mga socket bago magbago ng anuman

Sa Linux, inililista ng ss -lunp ang mga UDP listener kasama ang kanilang lokal na address, port at proseso, at ginagawa rin ito ng ss -ltnp para sa TCP. Hanapin ang port ng VPN at basahin nang mabuti ang column ng address. Ang 0.0.0.0:51820 at [::]:51820 ay nangangahulugang bawat interface, habang ang 10.0.0.5:51820 ay nangangahulugang isang address sa isang interface. Ang manual ng ss ay nagdodokumento ng mga column kung hindi pamilyar ang output. Kung nawawala ang pangalan ng proseso, patakbuhin ang parehong command gamit ang sudo, dahil kailangan ng pribilehiyo ang column ng may-ari.

Isulat ang address. Iyon ang katotohanang nakasalalay ang natitirang bahagi ng gabay na ito.

Itali sa isang address, hindi sa isang hiling

Itinatali ng OpenVPN ang listener sa isang partikular na address gamit ang direktiba nitong local, at iyon ang sinusuportahang paraan upang limitahan ito sa antas ng proseso. Hindi lahat ng implementasyon ay nag-aalok ng katumbas, at ang isang protocol na walang opsyon sa pagtali ay hindi maaaring paikliin sa ganitong paraan. Kung wala ito sa iyo, ang firewall ang tanging kontrol mo, at dapat itong sabihin nang malinaw ng mga tala sa deployment. Sa isang host na may maraming address, itali sa address na nakaharap sa tunnel; ang pagtali sa isang address na lumulutang ay karaniwang pagkakamali.

Ang isang serbisyong kailangang mabuhay sa pagbabago ng address ay nangangailangan ng plano para sa lumang pagtali, hindi lamang isang linya ng configuration.

Suriin ang pamilya ng address nang hiwalay

Ang IPv4 at IPv6 ay magkahiwalay na socket. Ang isang prosesong nakatali sa 0.0.0.0 ay maaaring tumanggap pa rin ng IPv6 sa pamamagitan ng dual-stack socket, o hindi, depende sa opsyon ng socket at default ng platform. Ang pagbasa lamang sa linya ng IPv4 ay nalinlang na ang higit sa isang review ng deployment. Ilista ang parehong pamilya bago maghinuha na makitid ang listener.

Kung ang IPv6 ay hindi bahagi ng disenyo, ang pag-disable nito sa antas ng socket ay mas malinis kaysa umasa na sasaklawin ito ng firewall. Ito ay desisyon sa patakaran, kaya itala ito kasama ng iba pang pagpipilian sa interface.

Ilagay ang firewall sa ibabaw ng pagtali

Ang makitid na pagtali ay hindi kapalit ng firewall rule, at ang firewall rule ay hindi nagpapakitid ng wildcard na pagtali. Gamitin ang dalawa: itali kung saan sinusuportahan ng implementasyon, pagkatapos ay payagan ang port mula lamang sa mga source na dapat makarating dito. Ang mga cloud security group ay nasa harap ng firewall ng host, kaya suriin ang dalawa kapag tumatawid ang landas sa hangganan ng VPC. Ang epektibong tuntunin ay ang intersection ng dalawa, at ang bawat layer ay makakabawas lamang ng maabot.

Subukan mula sa isang pinahihintulutang source at mula sa isang sadyang ibinukod. Ang koneksyon mula sa localhost ay walang pinapatunayan tungkol sa pampublikong hangganan.

Itala ang pinili mo

Isulat ang nakataling address, ang interface na nagmamay-ari nito, ang firewall rule at ang layunin nito. Ang isang kapalit na NIC o isang muling inilaan na cloud address ay maaaring magbago ng pagkakalantad nang walang nag-e-edit ng profile. Lagyan ng petsa ang tala, dahil ang mga cloud address ay gumagalaw sa pagitan ng mga review nang mas madalas kaysa inaasahan ng mga tao.

Ang talang iyon ang gumagawa sa susunod na review na isang paghahambing sa halip na isang proyektong arkeolohiko.