VPN tinglovchisini siz nazarda tutgan interfeyslar bilan cheklang
wildcard tinglovchi va firewall qoidasi turli boshqaruv elementlaridir. Haqiqiy socketlarni ss bilan o'qing, so'ngra manzil oilasini va firewallni tekshiring.
VPN xizmati socketi bog'langan va firewall ruxsat bergan har qanday joydan yetib borish mumkin. Bu ikki alohida qaror, va odamlar odatda ulardan faqat bittasini qabul qiladilar. Haqiqiy tinglovchini o'qish o'n soniya vaqt oladi va taxmin hal qila olmaydigan savolni hal qiladi. O'sha yerdan boshlang, so'ngra bir vaqtning o'zida bitta boshqaruvni o'zgartiring.
Quyidagilarning barchasi hostda root yoki sudo bilan buyruqlarni ishga tushira olasiz deb hisoblaydi.
Biror narsani o'zgartirishdan oldin socketlarni o'qing
Linuxda ss -lunp UDP tinglovchilarni mahalliy manzili, porti va jarayoni bilan ro'yxatlaydi, ss -ltnp esa TCP uchun xuddi shunday qiladi. VPN portini toping va manzil ustunini diqqat bilan o'qing. 0.0.0.0:51820 va [::]:51820 barcha interfeyslarni anglatadi, 10.0.0.5:51820 esa bitta interfeysdagi bitta manzilni anglatadi. Agar chiqish notanish bo'lsa, ss qo'llanmasi ustunlarni hujjatlashtiradi. Jarayon nomi bo'lmasa, xuddi shu buyruqni sudo bilan ishga tushiring, chunki egasi ustuni imtiyoz talab qiladi.
Manzilni yozib oling. Bu ushbu qo'llanmaning qolgan qismi tayanadigan fakt.
Orzuga emas, manzilga bog'lang
OpenVPN o'zining local direktivasi bilan tinglovchini ma'lum manzilga bog'laydi va bu uni jarayon darajasida cheklashning qo'llab-quvvatlanadigan usuli. Har bir amalga oshirish ekvivalent taklif qilmaydi va bog'lash opsiyasi bo'lmagan protokolni bu yo'l bilan toraytirib bo'lmaydi. Agar siznikida hech biri bo'lmasa, firewall yagona boshqaruvingizdir va joylashtirish eslatmalari buni aniq aytishi kerak. Bir nechta manzilli hostda tunnelga qaragan manzilga bog'lang; suzuvchi manzilga bog'lanish odatda xatodir.
Manzil o'zgarishini boshdan kechirishi kerak bo'lgan xizmatga eskirgan bog'lanish uchun reja kerak, faqat konfiguratsiya satri emas.
Manzil oilasini alohida tekshiring
IPv4 va IPv6 alohida socketlardir. 0.0.0.0 ga bog'langan jarayon ikki qatlamli socket orqali hali ham IPv6 qabul qilishi mumkin yoki yo'q; bu socket opsiyasi va platformaning standart qiymatiga bog'liq. Faqat IPv4 satrini o'qish bir nechta joylashtirish ko'rib chiqishlarini chalg'itdi. Tinglovchi tor deb xulosa qilishdan oldin ikkala oilani ham ro'yxatlang.
Agar IPv6 dizaynning bir qismi bo'lmasa, firewall uni qoplaydi deb umid qilishdan ko'ra socket darajasida o'chirish tozaroq. Bu siyosat qarori, shuning uchun uni boshqa interfeys tanlovlari bilan birga qayd eting.
Firewallni bog'lanish ustiga qatlamlang
Tor bog'lanish firewall qoidasini almashtirmaydi va firewall qoidasi wildcard bog'lanishni toraytirmaydi. Ikkalasini ham ishlating: amalga oshirish qo'llab-quvvatlagan joyda bog'lang, so'ngra portga faqat unga yetib borishi kerak bo'lgan manbalardan ruxsat bering. Bulut xavfsizlik guruhlari host firewallining oldida turadi, shuning uchun yo'l VPC chegarasidan o'tganda ikkalasini ham tekshiring. Samarali qoida ikkalasining kesishmasi va har bir qatlam faqat yetib borishni kamaytirishi mumkin.
Ruxsat berilgan manbadan va qasddan chiqarib tashlangan manbadan sinab ko'ring. localhostdan ulanish ommaviy chegara haqida hech narsani isbotlamaydi.
Nima tanlaganingizni qayd eting
Bog'langan manzilni, unga egalik qiluvchi interfeysni, firewall qoidasini va uning maqsadini yozing. Almashtirilgan NIC yoki qayta tayinlangan bulut manzili hech kim profilni tahrirlamasdan ta'sirni o'zgartirishi mumkin. Eslatmaga sana qo'ying, chunki bulut manzillari ko'rib chiqishlar orasida odamlar kutganidan tez-tez ko'chadi.
Aynan shu eslatma keyingi ko'rib chiqishni arxeologiya loyihasi emas, taqqoslashga aylantiradi.