VPN serveri uchun bulut xavfsizlik devori va xost xavfsizlik devori

Bulut siyosatida VPN porti ga ruxsat bering, ammo qo’l berib ko’rishish baribir instansiyada o’lishi mumkin: mehmon o'z filtrini va o’z tinglovchi bog’lanishini ishga tushiradi va ikkalasi ham bulut tasdiqlagan narsani tashlab yuborishi mumkin. Aksincha ham bo’ladi: xost qoidasi portga ruxsat beradi, yuqoridagi siyosat esa uni birinchi bo’lib tashlaydi. Ikki egasi, ikki qoida to’plami, bitta paket yo’li. Eng shubhali qavatda taxmin qilish o’rniga uni tartib bilan bosib o’ting.

Chekkadan boshlab ichkariga qarab yuring

Tartib qat’iy: ommaviy so’nggi nuqta, resurs interfeysi, biriktirilgan bulut siyosati, mehmon manzili, jarayon tinglovchisi, mahalliy kirish qoidalari. Har bir bosqich paketni o’tkazadi yoki tekshiruvni tugatadi, shuning uchun mehmondan boshlash eng ko’p vaqtni yo’qotadi.

Yo’naltirilgan mijoz trafigi alohida bosqich bo’lib, tunnel ochilgandan keyin tekshiriladi. Bulut qatlami faqat tashqi tunnelni ko’radi, shuning uchun u ulanishni tasdiqlab, baribir ichki xizmat so’roviga aloqasi bo’lmasligi mumkin. Ulanadigan, lekin ichki xostga yetib bormaydigan tunnel odatda yopiq portga emas, yo’naltirishga ishora qiladi.

Mehmonga tegishdan oldin bulut siyosatini o’qing

VPN portining kirish qoidasini, uning protokolini va sinov mijoziingizga mos keladigan manba doirasini tasdiqlang. Kichik tarmoqning kirishni boshqarish ro’yxatini ham ko’ring: o’z qoidalari va standart qiymatlari bo’lgan ikkinchi filtr. Paket instansiyaga yetib borishidan oldin ikkalasi ham oqimga ruxsat berishi kerak. Birida ruxsat, ikkinchisida rad etish bu xatoning odatiy ko’rinishi.

Doirani mazmunli bo’lguncha toraytiring. VPN portini butun internetga ochish isbotlash oson, himoya qilish qiyin, bir manzilga qadalgan qoida esa sinov mijozingiz tarmoqni almashtirganda buziladi. Qoida identifikatori va siyosat egasini yozib qo’ying, keyingi o’zgarish insongacha kuzatilsin.

Avval tinglovchini, so’ng kirish zanjirini tasdiqlang

Instansiyada VPN jarayoni siz kutgan manzil va portga bog’langanini tekshiring, masalan ss -lntp 'sport = :1194' yordamida. Faqat 127.0.0.1 ga bog’langan demon mahalliy mijozlarni qabul qiladi va tunnel orqali hech narsa qabul qilmaydi, bu tashqaridan aynan filtrlangan portga o’xshaydi.

So’ng mahalliy qoidalarni ularni o’zgartirish uchun ishlatadigan sintaksisda o’qing, masalan iptables -S INPUT yoki nft list chain inet filter input. Faylga yozilgan, lekin hech qachon yuklanmagan qoida yoki mos ruxsatsiz standart tashlash paketlarni jimgina tashlaydi. Yo’naltiruvchi shlyuz uchun yo’naltirish va qaytish yo’li sozlamalarini ham tekshiring. Instansiyaga qaratilmagan, u orqali yo’naltirilgan paketlarga nima bo’lishini aynan ular hal qiladi.

Bir qavatda holat bilan, keyingisida holatsiz

Xavfsizlik guruhlari ruxsat bergan oqimlarni eslab qoladi va javoblarni qaytarib kiritadi. Kichik tarmoqlarning kirishni boshqarish ro’yxatlari va ko’plab xost xavfsizlik devorlari bunday holatni saqlamaydi, shuning uchun faqat chiqish yo’nalishini qamrab olgan qoida so’rovni o’tkazadi va javobni tashlaydi. Ikkinchi qavat qoidasini o’qimasdan qavatlar orasida qaytish trafigi haqidagi taxminni hech qachon olib yurmang (second layer’s rule).

Hisobdagi har bir qoidani o’qishdan ko’ra hisoblagichlar buni tezroq hal qiladi. Ortib borayotgan hisoblagich paket o’sha yerga yetib, o’sha yerda tashlanganini, nolda qotib qolgani esa u yerga umuman yetmaganini bildiradi; qoidalar hisoblagichlar bilan yuklangan bo’lsa, iptables -vnL INPUT va nft list ruleset o’sha raqamlarni ko’rsatadi.

Tirik sessiya bilan emas, yangi sessiya bilan sinang

Ko’rinishlarni solishtirganda manba tarmoq va sinov profilini o’zgartirmang, har bir o’zgarishdan keyin yangi ulanish oching. 443 dagi veb konsolga yetish VPN demonining 1194 ga bog’langanligi haqida hech narsa demaydi, shuning uchun kerakli portni sinang. Mavjud sessiya bu yerda eng yomon guvoh. Har bir yangi kirish rad etilayotganda ham u ishlayveradi.

Masofaviy siyosatni tahrirlashdan oldin o’zgartirayotgan yo’lingizga bog’liq bo’lmagan qaytish yo’lini ta’minlang. So’ng VPN sinovi yonida ikkinchi ma’muriy sessiya oching: avvalroq o’rnatilgani yangilarini to’sadigan qoidadan uzoqroq yashashi mumkin. Ikkala siyosatning egasini yozib qo’ying, hech qanday qayta qurish yo’lning yarmini tiklamasin; agar ikkala qavat ham rozi bo’lsa-yu tunnel baribir ishlamasa, mehmon interfeysida ushlang va mijoz haqiqatda ishlatadigan manzil va portni tekshiring.