Tek bir ana bilgisayarda çakışma olmadan VPN ve web sitesi çalıştırmak

Tek bir ana bilgisayarı genel bir site ile VPN arasında paylaştığınızda bir değil iki soru miras alırsınız: ne nerede dinliyor ve kim kimi doğruluyor. Yapılandırma dosyasına dokunmadan önce ikisini de yanıtlayın, çünkü varsayılan değerler ancak yük altında görünen biçimlerde yanlıştır. HTTPS ile yüklenen bir sayfa web dinleyicisinin yanıt verdiğini kanıtlar ve eş dinleyicisi hakkında hiçbir şey söylemez. Aşağıdakiler, ikisinin birbirini yemesini engelleyen bir karar sırasıdır.

Neyin hangi adreste ve taşımada dinlediğine karar verin

Üç sütunlu bir tablo yazın, adres, taşıma ve bağlantı noktası, ve her hizmet için bir satır, yönetim arayüzü dahil. Site için TCP 443 ve VPN için UDP 443, sayılar aynı olsa bile çakışma değildir, çünkü taşıma farklıdır. Aynı adres, taşıma ve bağlantı noktasındaki iki hizmet, uygulamanın belgelediği bir düzenlemeye ihtiyaç duyar, kesinti sırasında uydurduğunuz bir düzenlemeye değil. O tablo, bir sonraki değişikliği incelenebilir kılan artefakt da olur.

Ayrı adresler veya ikinci bir bağlantı noktası sahipliği paket yakalamada görünür kılar ve bu zarafetten daha değerlidir. Bazı VPN uygulamaları bir bağlantı noktasını web sunucusuyla paylaşmayı destekler, ancak mekanizma özgüldür: arka plan süreci ilk baytları inceler ve kendi protokolü olmayan trafiği iletir. Genel bir HTTP ters vekil sunucusu bunu yapmaz ve başlıkları yeniden yazmak onu şifreli bir tünelin el sıkışmasını anlar hale getirmez. Protokolün dağıtım notlarını okuyun, örneğin OpenVPN dinleyici belgelerini, ve anlattığı düzenlemeyi izleyin.

Hangi kimliğin hangi hizmete ait olduğuna karar verin

Tarayıcı sertifikası ve VPN eş kimlik bilgisi, farklı güven modellerine sahip farklı nesnelerdir. Web sertifikası bir kamu otoritesi tarafından doğrulanır ve bir ana bilgisayar adı belirtir; eş kimlik bilgisi ise bir cihazı veya kullanıcıyı yoğunlaştırıcıya doğrular ve kendinden imzalı veya dahili olarak verilmiş olabilir. Birini diğeri yerine kullanmak dar durumlarda işe yarar ve bu bağlantıya nadiren değer. Paylaşılan bir sertifikanın uyması için doğrulamayı kapatmak bir ayırma planı değildir; kimlik bilgisine anlam veren denetimi ortadan kaldırır.

İki depoyu bağımsız tutun ve her birini hangi otoritenin verdiğini yazın. Biri döndürüldüğünde diğeri değişiklik gerektirmemelidir ve gerektiriyorsa düzeltilmesi gereken şey bağlantıdır.

Yönetimin nerede yaşadığına karar verin

VPN'nin yönetim arayüzü bir yönetim yolunda olmalıdır, asla genel dinleyicide değil, ana bilgisayar zaten internete hizmet etse bile. 443'teki bir web sunucusu, eş konsolunun her yerden erişilebilir olması gerektiği anlamına gelmez ve konsol genellikle daha yüksek değerli hedeftir. Onu geri döngü veya yönetim adresine bağlayın, kaynağa göre sınırlayın ve tünelin açık olmasına bağlı olmayan bir kurtarma yolu tutun. Kurtarma yolu önemlidir çünkü yaygın hata kilidi onarırken kendinizi dışarıda kilitlemektir.

Dar güvenlik duvarı kuralları yazın, her dinleyici için bir tane, platformun desteklediği yerde arayüzü veya hizmet hesabını adlandırın. Site 443 gerektirdiği için ana bilgisayarı açan geniş kurallar, yönetim arayüzlerinin tarayıcı dizinlerine girmesinin yoludur.

Bu kuralları her hizmet eklendiğinde dinleyici tablosuna göre gözden geçirin. Gözden geçirme ucuzdur ve gece ikide birinin eklediği kuralı yakalar.

İkisi çekiştiğinde ne yapacağınıza karar verin

Bir ana bilgisayarı paylaşmak CPU, bellek, dosya tanımlayıcıları ve bant genişliğini paylaşmak demektir ve tartışılan kaynak her zaman belirgin olan değildir. Yoğun bir site bağlantı tablosunu doldurabilir, çalışan yuvalarını tüketebilir veya disk kuyruğunu VPN günlüklemesi duracak kadar zorlayabilir. Ana bilgisayar toplamları yerine hizmet başına kullanıma bakın, çünkü ortalama hangi sürecin aç kaldığını gizler. Bir iş yükü diğerini tekrar tekrar bozuyorsa, belirtinin etrafında ayar yapmak yerine onları yalıtın.

Yalıtım bir konteyner, bir cgroup sınırı, ayrı bir kuyruk veya ikinci bir ana bilgisayar olabilir ve doğru seçim hangi kaynağın çekiştiğine bağlıdır. Bağlantı noktası değişikliği burada hiçbir şeyi düzeltmez ve sınır doymuş tek bir kuyruksa daha büyük bir örnek de hiçbir şeyi düzeltmez. Ölçümle karar verin: kaynağı adlandırın, yükleyin, sonra çekişmeyi kaldıran en küçük yalıtımı seçin.

Dışarıdan doğrulayın, ardından yeniden başlatmadan sonra tekrar

Ana bilgisayarın kendi ağında olmayan bir cihazdan test edin: siteyi yükleyin, tüneli kaldırın ve onu gerektiren bir kaynağa ulaşın. Sonra her hizmeti ayrı ayrı yeniden başlatın ve diğer testi yineleyin, çünkü yeniden başlatma paylaşılan dinleyici düzenlemesinin sırasını kaybettiği andır. VPN, paylaşılan bağlantı noktasına sahip web sunucusundan önce başlarsa, paylaşım mekanizması hiç bağlanmayabilir ve belirti dün çalışan bir tüneldir. Bağımlılığı birim sırasında açık hale getirin.

Sonra sınırları doğrulayın: site kendi bağlantı noktasında yanıt verir, VPN kendi bağlantı noktasında yanıt verir ve yönetim arayüzü yalnızca yönetim yolundan yanıt verir. Sonucu tarihle birlikte dinleyici tablosunun yanına kaydedin. Yeniden başlatmadan sonra üç denetimi de geçen ana bilgisayar, brifing olmadan başkasına devredebileceğiniz ana bilgisayardır.