Bir VPN dinleyicisini kastettiğiniz arayüzlerle sınırlayın
Joker karakterli bir dinleyici ile güvenlik duvarı kuralı farklı denetimlerdir. Gerçek soketleri ss ile okuyun, ardından adres ailesini ve güvenlik duvarını kontrol edin.
Bir VPN hizmetine, soketinin bağlı olduğu ve güvenlik duvarının izin verdiği her yerden erişilebilir. Bunlar iki ayrı karardır ve insanlar genellikle yalnızca birini verir. Gerçek dinleyiciyi okumak on saniye sürer ve tahminin çözemeyeceği bir soruyu çözer. Oradan başlayın, ardından her seferinde bir denetimi değiştirin.
Aşağıdakilerin tümü, ana makinede root veya sudo ile komut çalıştırabildiğinizi varsayar.
Herhangi bir şeyi değiştirmeden önce soketleri okuyun
Linux'ta ss -lunp, UDP dinleyicilerini yerel adresleri, bağlantı noktaları ve süreçleriyle listeler; ss -ltnp ise TCP için aynısını yapar. VPN'in bağlantı noktasını bulun ve adres sütununu dikkatlice okuyun. 0.0.0.0:51820 ve [::]:51820 her arayüzü, 10.0.0.5:51820 ise bir arayüzdeki tek bir adresi ifade eder. Çıktı tanıdık değilse ss kılavuzu sütunları belgeler. Süreç adı eksikse aynı komutu sudo ile çalıştırın, çünkü sahip sütunu ayrıcalık gerektirir.
Adresi yazın. Bu kılavuzun geri kalanının bağlı olduğu gerçek budur.
Bir dile değil, bir adrese bağlanın
OpenVPN, local yönergesiyle dinleyiciyi belirli bir adrese bağlar ve süreç düzeyinde onu sınırlamanın desteklenen yolu budur. Her uygulama bir eşdeğer sunmaz ve bağlama seçeneği olmayan bir protokol bu şekilde daraltılamaz. Sizinkinde hiç yoksa güvenlik duvarı tek denetiminizdir ve dağıtım notları bunu açıkça söylemelidir. Birden çok adresi olan bir ana makinede, tünele bakan adrese bağlanın; yüzen bir adrese bağlanmak genellikle hatadır.
Adres değişikliğini atlatması gereken bir hizmetin, yalnızca bir yapılandırma satırına değil, eski bağlama için bir plana ihtiyacı vardır.
Adres ailesini ayrı ayrı kontrol edin
IPv4 ve IPv6 ayrı soketlerdir. 0.0.0.0 adresine bağlı bir süreç, çift yığınlı bir soket aracılığıyla IPv6'yı hâlâ kabul edebilir ya da etmeyebilir; bu, soket seçeneğine ve platformun varsayılanına bağlıdır. Yalnızca IPv4 satırını okumak birden fazla dağıtım incelemesini yanılttı. Dinleyicinin dar olduğu sonucuna varmadan önce her iki aileyi de listeleyin.
IPv6 tasarımın parçası değilse, güvenlik duvarının onu kapsayacağını ummak yerine soket düzeyinde devre dışı bırakmak daha temizdir. Bu bir politika kararıdır, bu yüzden diğer arayüz seçimleriyle birlikte kaydedin.
Güvenlik duvarını bağlamanın üzerine katmanlayın
Dar bir bağlama güvenlik duvarı kuralının yerini almaz ve bir güvenlik duvarı kuralı joker karakterli bağlamayı daraltmaz. İkisini de kullanın: uygulamanın desteklediği yerde bağlayın, ardından bağlantı noktasına yalnızca ona ulaşması gereken kaynaklardan izin verin. Bulut güvenlik grupları ana makinenin güvenlik duvarının önünde durur, bu nedenle yol bir VPC sınırını geçtiğinde ikisini de kontrol edin. Etkin kural ikisinin kesişimidir ve her katman yalnızca erişilebilirliği azaltabilir.
İzin verilen bir kaynaktan ve kasıtlı olarak hariç tutulan bir kaynaktan test edin. localhost'tan gelen bağlantı genel sınır hakkında hiçbir şey kanıtlamaz.
Ne seçtiğinizi kaydedin
Bağlı adresi, ona sahip arayüzü, güvenlik duvarı kuralını ve amacını yazın. Değiştirilmiş bir NIC veya yeniden atanmış bir bulut adresi, kimse profili düzenlemeden maruziyeti değiştirebilir. Notu tarihlendirin, çünkü bulut adresleri incelemeler arasında insanların beklediğinden daha sık hareket eder.
O not, bir sonraki incelemeyi arkeoloji projesi yerine bir karşılaştırma yapan şeydir.