Pagpapatakbo ng VPN at website sa isang host nang walang banggaan

Kapag hinati mo ang isang host sa pagitan ng pampublikong site at VPN, nagmamana ka ng dalawang tanong, hindi isa: ano ang nakikinig saan, at sino ang nagpapatunay kanino. Sagutin ang dalawa bago hawakan ang file ng configuration, dahil mali ang mga default na halaga sa mga paraang lumilitaw lamang sa ilalim ng karga. Ang pahinang naglo-load sa HTTPS ay nagpapatunay na sumasagot ang tagapakinig ng web at wala tungkol sa tagapakinig ng mga peer. Ang sumusunod ay isang pagkakasunod-sunod ng mga desisyon na pumipigil sa dalawa na kainin ang isa't isa.

Magpasya kung ano ang nakikinig sa aling address at transport

Sumulat ng talahanayan na may tatlong column, address, transport at port, at isang hilera bawat serbisyo, kasama ang administratibong interface. Ang TCP 443 para sa site at UDP 443 para sa VPN ay hindi banggaan kahit magkapareho ang mga numero, dahil iba ang transport. Ang dalawang serbisyo sa parehong address, transport at port ay kailangan ng kaayusang idinodokumento ng implementasyon, hindi isa na imbento mo habang may outage. Ang talahanayang iyon ay ang artefact din na nagpapaging masuri ang susunod na pagbabago.

Hiwalay na address o pangalawang port ginagawang nakikita ang pagmamay-ari sa pagkuha ng packet, at mas mahalaga iyon kaysa kagandahan. Sinusuportahan ng ilang implementasyon ng VPN ang pagbabahagi ng port sa web server, ngunit espesipiko ang mekanismo: sinusuri ng daemon ang mga unang byte at ipinapasa ang trapikong hindi ang sarili nitong protocol. Ang pangkalahatang reverse proxy para sa HTTP ay hindi ganoon, at ang muling pagsulat ng mga header ay hindi ito magpapaunawa sa handshake ng naka-encrypt na tunnel. Basahin ang mga tala sa deployment ng protocol, tulad ng dokumentasyon ng tagapakinig ng OpenVPN, at sundin ang kaayusang inilalarawan nito.

Magpasya kung aling pagkakakilanlan ang nabibilang sa aling serbisyo

Ang sertipiko ng browser at kredensyal ng peer ng VPN ay magkaibang bagay na may magkaibang modelo ng pagtitiwala. Ang sertipiko ng web ay pinapatunayan ng pampublikong awtoridad at nagpangalan ng hostname, samantalang ang kredensyal ng peer ay nagpapatunay ng device o user sa concentrator at maaaring self-signed o inisyu sa loob. Ang paggamit ng isa bilang isa pa ay gumagana sa makitid na kaso at bihirang sulit ang pagkakabit. Ang pag-off ng verification upang umangkop ang pinagsasaluhang sertipiko ay hindi planong paghihiwalay; inaalis nito ang pagsusuring nagbigay ng kahulugan sa kredensyal.

Panatilihing malaya ang dalawang imbakan at isulat kung aling awtoridad ang naglalabas ng bawat isa. Kapag pinaikot ang isa, hindi dapat kailanganin ng isa pa ang pagbabago, at kung kailanganin, ang pagkakabit ang dapat ayusin.

Magpasya kung saan nakatira ang administrasyon

Ang administratibong interface ng VPN ay nabibilang sa landas ng pamamahala, hindi kailanman sa pampublikong tagapakinig, kahit naglilingkod na ang host sa internet. Ang web server sa 443 ay hindi nangangahulugang dapat maabot ang console ng mga peer mula saanman, at ang console ay karaniwang ang target na may mas mataas na halaga. Italgap ito sa loopback o address ng pamamahala, limitahan ito ayon sa pinagmulan, at panatilihin ang landas ng pagbawi na hindi umaasa sa pagkakaroon ng tunnel. Mahalaga ang landas ng pagbawi dahil ang karaniwang pagkabigo ay ikulong ang sarili sa labas habang inaayos ang lock.

Sumulat ng makitid na patakaran ng firewall, isa bawat tagapakinig, at pangalanan ang interface o service account kung saan sinusuportahan ito ng platform. Ang malawak na patakarang nagbubukas ng host dahil kailangan ng site ang 443 ay ang paraang napupunta ang administratibong interface sa mga indeks ng scanner.

Suriin ang mga patakarang iyon laban sa talahanayan ng mga tagapakinig sa tuwing may idadagdag na serbisyo. Mura ang pagsusuri at nahuhuli nito ang patakarang idinagdag ng isang tao nang alas-dos ng madaling-araw.

Magpasya kung ano ang gagawin kapag nag-aagawan ang dalawa

Ang pagbabahagi ng host ay nangangahulugang pagbabahagi ng CPU, memory, file descriptor at bandwidth, at ang pinagtatalunang mapagkukunan ay hindi laging halata. Ang abalang site ay maaaring punuin ang talahanayan ng koneksyon, ubusin ang mga slot ng trabaho, o itulak ang pila ng disk nang sapat upang huminto ang pag-log ng VPN. Tingnan ang paggamit bawat serbisyo sa halip na ang kabuuan ng host, dahil tinatago ng average kung aling proseso ang nagugutom. Kung paulit-ulit na ginagambala ng isang workload ang isa pa, ihiwalay sila sa halip na mag-tune sa paligid ng sintomas.

Ang paghihiwalay ay maaaring isang container, limitasyon ng cgroup, hiwalay na pila o pangalawang host, at ang tamang pagpili ay nakasalalay sa kung aling mapagkukunan ang nag-aagawan. Walang naaayos ang pagbabago ng port dito, at walang naaayos ang mas malaking instance kung ang limitasyon ay isang puspos na pila. Magpasya sa pamamagitan ng pagsukat: pangalanan ang mapagkukunan, kargahin ito, pagkatapos ay piliin ang pinakamaliit na paghihiwalay na nag-aalis ng agawan.

I-verify mula sa labas, pagkatapos muli pagkatapos ng restart

Subukan mula sa device na wala sa sariling network ng host: i-load ang site, itaas ang tunnel, at maabot ang isang mapagkukunang nangangailangan nito. Pagkatapos ay i-restart ang bawat serbisyo nang hiwalay at ulitin ang isa pang pagsubok, dahil ang restart ay ang sandaling nawawala ng kaayusan ng pinagsasaluhang tagapakinig ang pagkakasunod-sunod nito. Kung magsisimula ang VPN bago ang web server na nagmamay-ari ng pinagsasaluhang port, maaaring hindi kailanman kumabit ang mekanismo ng pagbabahagi, at ang sintomas ay isang tunnel na gumana kahapon. Gawing malinaw ang dependency sa pagkakasunod-sunod ng unit.

Pagkatapos ay kumpirmahin ang mga hangganan: sumasagot ang site sa port nito, sumasagot ang VPN sa sarili nitong port, at ang administratibong interface ay sumasagot lamang mula sa landas ng pamamahala. Itala ang resulta sa tabi ng talahanayan ng mga tagapakinig kasama ang petsa. Ang host na pumasa sa lahat ng tatlong pagsusuri pagkatapos ng restart ay host na maaari mong ipaabot sa ibang tao nang walang briefing.