VPN sunucusu için bulut güvenlik duvarına karşı ana makine güvenlik duvarı

Bulut politikasında VPN portuna izin verin, ama el sıkışma yine de örnek üzerinde ölebilir: konuk kendi filtresini ve kendi dinleyici bağlamasını çalıştırır ve ikisinden biri bulutun onayladığını atabilir. Tersi de olur: ana makine kuralı portu izin verir, üstteki politika onu önce düşürür. İki sahip, iki kural kümesi, tek paket yolu. En şüpheli katmanda tahmin etmek yerine sırayla izleyin.

Kenardan başlayıp içeri doğru ilerleyin

Sıra sabittir: genel uç nokta, kaynak arayüzü, bağlı bulut politikası, konuk adresi, süreç dinleyicisi, yerel giriş kuralları. Her aşama paketi ya geçirir ya da incelemeyi bitirir; bu yüzden konuktan başlamak en çok zamanı kaybettirir.

Yönlendirilen istemci trafiği ayrı bir aşamadır ve tünelin kapsülü açıldıktan sonra incelenir. Bulut katmanı yalnızca dış tüneli görür, dolayısıyla bir bağlantıyı onaylayıp yine de iç hizmet isteğiyle hiçbir ilgisi olmayabilir. Bağlanan ama iç ana makineye ulaşamayan tünel genellikle kapalı bir portu değil, yönlendirmeyi işaret eder.

Konuğa dokunmadan önce bulut politikasını okuyun

VPN portunun giriş kuralını, protokolünü ve test istemcinizle eşleşen kaynak kapsamını doğrulayın. Alt ağın erişim denetim listesine de bakın: kendi kuralları ve varsayılanları olan ikinci bir filtre. Paket örneğe ulaşmadan önce ikisi de akışa izin vermelidir. Birinde izin, diğerinde ret bu hatanın olağan biçimidir.

Kapsamı anlamlı olana kadar daraltın. VPN portunu tüm internete açmak kanıtlaması kolay, savunması zordur; tek bir adrese sabitlenmiş kural ise test istemciniz ağ değiştirdiğinde kırılır. Kural kimliğini ve politika sahibini not edin ki bir sonraki değişiklik bir kişiye kadar izlenebilsin.

Önce dinleyiciyi, sonra giriş zincirini doğrulayın

Örnek üzerinde VPN sürecinin beklediğiniz adrese ve porta bağlı olup olmadığını kontrol edin, örneğin ss -lntp 'sport = :1194' ile. Yalnızca 127.0.0.1 adresine bağlı bir arka plan süreci yerel istemcileri kabul eder ve tünelden hiçbir şey kabul etmez; bu da dışarıdan tam olarak filtrelenmiş bir port gibi görünür.

Ardından yerel kuralları değiştirmek için kullanacağınız sözdiziminde okuyun, örneğin iptables -S INPUT veya nft list chain inet filter input. Bir dosyaya yazılıp hiç yüklenmemiş kural ya da eşleşen izin olmadan varsayılan düşürme, paketleri sessizce atar. Yönlendiren bir ağ geçidi için yönlendirme ve dönüş yolu ayarlarını da kontrol edin. Örneğe adreslenmeyen, örnek üzerinden yönlendirilen paketlere ne olacağına bunlar karar verir.

Bir katmanda durumlu, sonrakinde durumsuz

Güvenlik grupları izin verdikleri akışları hatırlar ve yanıtları geri alır. Alt ağ erişim denetim listeleri ve birçok ana makine güvenlik duvarı böyle bir durum tutmaz; bu yüzden yalnızca giden yönü kapsayan bir kural isteği geçirir ve yanıtı atar. İkinci katmanın kuralını okumadan katmanlar arasında dönüş trafiği varsayımını asla taşımayın (second layer's rule).

Sayaçlar bunu hesaptaki her kuralı okumaktan daha hızlı çözer. Artan sayaç paketin oraya ulaşıp orada atıldığını, sıfırda donmuş sayaç ise oraya hiç ulaşmadığını gösterir; kurallar sayaçlarla yüklendiyse iptables -vnL INPUT ve nft list ruleset bu sayıları gösterir.

Canlı bir oturumla değil, yeni bir oturumla test edin

Görünümleri karşılaştırırken kaynak ağı ve test profilini değiştirmeyin, her değişiklikten sonra yeni bir bağlantı açın. 443 üzerindeki web konsoluna ulaşmak VPN arka plan sürecinin 1194’e bağlı olup olmadığı hakkında hiçbir şey söylemez; bu yüzden ihtiyaç duyduğunuz portu test edin. Mevcut bir oturum burada en kötü tanıktır. Her yeni oturum açma reddedilirken o çalışmaya devam eder.

Uzak bir politikayı düzenlemeden önce, değiştirdiğiniz yola bağlı olmayan bir geri dönüş yolu sağlayın. Ardından VPN testinin yanında ikinci bir yönetim oturumu açın: daha önce kurulmuş biri, yenileri engelleyen kuraldan daha uzun yaşayabilir. İki politikanın sahibini de not edin ki hiçbir yeniden kurulum yolun yarısını geri getirmesin; iki katman da aynı fikirdeyse ve tünel yine de başarısız olursa konuğun arayüzünde yakalayın ve istemcinin gerçekte kullandığı adresi ve portu kontrol edin.