Tường lửa đám mây và tường lửa máy chủ cho một máy chủ VPN

Cho phép cổng VPN trong chính sách đám mây mà bắt tay vẫn có thể chết ngay trên phiên bản: khách chạy bộ lọc riêng và ràng buộc bộ lắng nghe riêng, và bất kỳ cái nào cũng có thể bỏ đi thứ mà đám mây đã chấp thuận. Chiều ngược lại cũng xảy ra, khi một quy tắc trên máy chủ cho phép cổng và một chính sách phía trên bỏ nó trước. Hai chủ sở hữu, hai bộ quy tắc, một đường đi của gói tin. Hãy đi theo thứ tự thay vì đoán ở tầng đáng ngờ nhất.

Bắt đầu từ rìa và đi vào trong

Thứ tự cố định: điểm cuối công khai, giao diện tài nguyên, chính sách đám mây gắn kèm, địa chỉ khách, bộ lắng nghe của tiến trình, các quy tắc đầu vào cục bộ. Mỗi bước hoặc cho gói tin đi qua hoặc kết thúc việc điều tra, vì vậy bắt đầu từ khách là mất thời gian nhất.

Lưu lượng khách được chuyển tiếp là một bước riêng, được kiểm tra sau khi giải gói đường hầm. Tầng đám mây chỉ thấy đường hầm bên ngoài, nên nó có thể chấp thuận một kết nối mà vẫn không liên quan gì đến yêu cầu của dịch vụ bên trong. Đường hầm kết nối được nhưng không tới được máy chủ nội bộ thường chỉ về việc chuyển tiếp, không phải cổng bị đóng.

Đọc chính sách đám mây trước khi chạm vào khách

Xác nhận quy tắc vào cho cổng VPN, giao thức của nó và phạm vi nguồn khớp với máy khách thử nghiệm của bạn. Xem cả danh sách kiểm soát truy cập của mạng con: bộ lọc thứ hai với quy tắc và giá trị mặc định riêng. Cả hai phải cho phép luồng trước khi gói tin tới phiên bản. Cho phép ở một cái và từ chối ở cái kia là dạng thường gặp của lỗi này.

Thu hẹp phạm vi cho đến khi nó có nghĩa. Mở cổng VPN cho toàn bộ internet thì dễ chứng minh và khó bảo vệ, trong khi một quy tắc ghim vào một địa chỉ sẽ vỡ khi máy khách thử nghiệm của bạn đổi mạng. Ghi lại mã định danh quy tắc và chủ sở hữu chính sách, để thay đổi tiếp theo có thể truy đến một người.

Xác nhận bộ lắng nghe, rồi đến chuỗi đầu vào

Trên phiên bản, kiểm tra xem tiến trình VPN có gắn với địa chỉ và cổng bạn mong đợi không, ví dụ bằng ss -lntp 'sport = :1194'. Một tiến trình nền chỉ gắn với 127.0.0.1 sẽ nhận máy khách cục bộ và không nhận gì qua đường hầm, điều mà từ bên ngoài trông giống hệt một cổng bị lọc.

Sau đó đọc các quy tắc cục bộ bằng đúng cú pháp bạn sẽ dùng để thay đổi chúng, như iptables -S INPUT hoặc nft list chain inet filter input. Một quy tắc được ghi vào tệp nhưng chưa bao giờ nạp, hoặc việc bỏ mặc định không có cho phép khớp, sẽ lặng lẽ bỏ gói tin. Với một cổng chuyển tiếp, hãy kiểm tra cả thiết lập chuyển tiếp và đường về. Chúng quyết định điều gì xảy ra với các gói tin được định tuyến qua phiên bản chứ không phải gửi đến nó.

Có trạng thái ở một tầng, không trạng thái ở tầng kế tiếp

Các nhóm bảo mật ghi nhớ những luồng đã cho phép và cho các phản hồi quay vào. Danh sách kiểm soát truy cập của mạng con và nhiều tường lửa trên máy chủ không giữ trạng thái như vậy, nên một quy tắc chỉ phủ chiều ra sẽ cho yêu cầu đi qua và bỏ phản hồi. Đừng bao giờ mang giả định về lưu lượng quay về giữa các tầng mà không đọc quy tắc của tầng thứ hai (second layer's rule).

Bộ đếm giải quyết việc này nhanh hơn là đọc mọi quy tắc trong tài khoản. Bộ đếm tăng nghĩa là gói tin đã tới và bị bỏ tại đó, còn bộ đếm đứng ở mức không nghĩa là nó chưa bao giờ tới đó; iptables -vnL INPUT và nft list ruleset hiển thị những con số đó khi các quy tắc được nạp kèm bộ đếm.

Thử bằng phiên mới, không phải phiên đang sống

Để nguyên mạng nguồn và hồ sơ thử nghiệm khi so sánh các góc nhìn, và mở kết nối mới sau mỗi thay đổi. Việc tới được bảng điều khiển web trên 443 không nói gì về việc tiến trình nền VPN có gắn với 1194 hay không, nên hãy thử đúng cổng bạn cần. Một phiên đang tồn tại là nhân chứng tệ nhất ở đây. Nó vẫn chạy trong khi mọi lần đăng nhập mới bị từ chối.

Trước khi sửa một chính sách từ xa, hãy bảo đảm có đường quay lại không phụ thuộc vào đường bạn đang thay đổi. Sau đó mở một phiên quản trị thứ hai bên cạnh bài thử VPN: phiên được lập trước đó có thể sống lâu hơn quy tắc chặn các phiên mới. Ghi lại chủ sở hữu của cả hai chính sách để không lần dựng lại nào khôi phục nửa đường; nếu cả hai tầng đồng ý mà đường hầm vẫn hỏng, hãy bắt gói trên giao diện của khách và kiểm tra địa chỉ cùng cổng mà máy khách thực sự dùng.