ما المنافذ التي يستمع عليها OpenVPN Access Server فعليًا؟
امشِ عبر قائمة المقابس على مضيف Access Server: تعرّف على المستمعين الافتراضيين، وميّز العودة المحلية عن المنشور، وتحقق من إعادة التوجيه قبل إغلاق منفذ.
أنت تشغّل ss -lntup على مضيف Access Server فتحصل على قائمة أطول مرتين مما هو متوقع. نصف الإدخالات منافذ على شكل خدمات خلفية لم يذكرها أحد أثناء الإعداد. والغريزة هي إغلاق كل ما ليس 443 أو 1194، وهكذا يفسد الناس بوابة العملاء الخاصة بهم.
Access Server ليس مستمعًا واحدًا. إنه خدمة VPN، وخدمة ويب، ومشارك في عنقود، ويمكنه توليد منافذ إضافية خاصة بالخدمات وإعادة توجيهات جدار حماية حسب عدد خدمات TCP التي أعددتها.
امشِ في الجرد بالترتيب: اقرأ المقابس، واعرف المألوف منها، وصنّف الباقي حسب المالك والارتباط، ثم تحقق مما ينشرها فعليًا.
ابدأ بأمر واحد للقراءة فقط
sudo ss -lntup يمنحك النقل والعنوان المحلي والمنفذ والعملية المالكة لكل مقبس مستمع. الخيارات مهمة: -l للاستماع، -n للأرقام، -t لـ TCP، -u لـ UDP، -p للعملية. بدون صلاحية الجذر تحصل على المقابس دون أسماء العمليات، وهذا هو العمود الذي تحتاجه للتصنيف بالضبط.
سجّل أربعة حقول لكل صف قبل تكوين أي رأي: البروتوكول، وعنوان الارتباط، والمنفذ، والأمر. أبقِ إصدار Access Server وعدد الخدمات المُعدّ بجوار تلك القائمة، لأن كليهما يغيّر ما هو متوقع.
صفّان يبدوان متطابقين ليسا كذلك. TCP وUDP على الرقم نفسه مقبسان منفصلان بتعرّض منفصل، و 0.0.0.0 و :: ارتباطان منفصلان لعائلتي عناوين منفصلتين. والخدمة المرتبطة بـ 127.0.0.1 فقط ليست قابلة للوصول مباشرة من مضيف آخر، رغم أن إعادة توجيه محلية قد تنشرها.
المستمعون الذين ينبغي أن تعرفهم
تغطي هذه الإعدادات الافتراضية معظم عمليات النشر وتمنحك خط أساس للمقارنة. إنها إعدادات افتراضية، وليست قائمة سماح كاملة.
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
كل ما هو أبعد من ذلك يحتاج إلى تفسير، لا إلى افتراض. سترى غالبًا مستمعين محليين فقط يخصّون مكوّنات يثبّتها المنتج لنفسه. أكّدها عبر PID وإعداد الخدمة بدلًا من رقم منفذ تتذكره، ولا تعامل منفذًا غير مألوف كعدو لمجرد أنه غير مألوف.
المقبس خارج الثنائي المألوف ليس تلقائيًا من بقايا سابقة أيضًا. عند إعداد عدة خدمات TCP، ينشئ Access Server مستمعين لكل خدمة ويعيد توجيه الحركة إليها، فيتبع عددها وقيم منافذها ذلك الإعداد.
صنّف قبل أن تغلق أي شيء
لكل صف غير مؤكد، أجب عن ثلاثة أسئلة بهذا الترتيب.
- المالك والغرض. طابق PID مع وحدة أو عملية واقرأ إعداد تلك الخدمة. إن لم تستطع تسمية المالك، فأنت لست جاهزًا لتقرير أي شيء بشأن المقبس.
- نطاق الارتباط. العودة المحلية محلية إلى مساحة الأسماء. والارتباط العام لا يكون قابلًا للوصول إلا إذا سمحت به التوجيهات وترشيح المضيف وأي قواعد على مستوى السحابة، لذا عنوان الارتباط ضروري لكنه غير كافٍ. افحص IPv4 وIPv6 كقرارين منفصلين.
- المسار المنشور. ابحث عن إعادة توجيه الخدمة، وإعادة التوجيهات الخاصة بالخدمات، ووكيل خارجي، وسياسة جدار الحماية الفعلية. هذه هي الخطوة التي يتخطاها الناس، وهي التي تحوّل منفذ خلفية يبدو غير ضار إلى مسار إداري قابل للوصول.
السؤال نفسه يُقرأ بشكل مختلف من خارج المضيف. منفذ بلا قاعدة جدار حماية على المضيف قد يغلقه مجموعة أمان سحابية، ومنفذ بقاعدة مضيف متسامحة قد يكون غير قابل للوصول لأن شيئًا لا يوجه إليه. انظر إلى الطرفين قبل كتابة استنتاج الجرد.
حيث يختلف المسار المنشور عن قائمة المقابس
تغطي وثائق Access Server نفسها الحالة التي تسبب أكبر قدر من الارتباك: عندما تعمل عدة خدمات TCP، يعيد المنفذ الأمامي التوجيه إلى منافذ خاصة بكل خدمة، ويتوقف التخطيط المرئي عن مطابقة قائمة المقابس. أما درس تصفية واجهة الويب فيشرح تلك القواعد ولماذا قد يفوّت مرشح مكتوب للمنفذ الواضح فقط المسار المعاد توجيهه بالكامل.
التحكم في العنقود هو الموضع الثاني الذي يهم فيه الإصدار. في 3.0 وما بعده يتشارك المنفذ 943؛ أما إعدادات العنقود الأقدم فاستخدمت 945. وفتح أحدها أو حجبه دون التحقق من الإصدار ينتج جردًا يبدو مرتبًا وهو خاطئ.
إذن السطح المرئي خارجيًا هو اتحاد ثلاثة أشياء: المقابس المستمعة، وقواعد إعادة التوجيه التي تعيد نشرها، وضوابط الشبكة أمام المضيف. أي جرد يسجل الأول فقط ناقص، وأي تغيير ينظر إلى الأول فقط سيترك مسارًا مفتوحًا أو يقطع خدمة.
تحقق بعد أي تغيير
غيّر إعدادات المستمع عبر مالك الإعداد المدعوم وأبقِ وحدة تحكم استرداد مفتوحة أثناء ذلك. فقدان الوصول الإداري إلى واجهة ويب على مضيف بعيد لا يمكن استرداده عبر الـ VPN الذي عطّلته للتو.
ثم تحقق من الأمور الأربعة التي تحتاجها عملية النشر عادة: يتصل عميل VPN، وتُحمّل بوابة العملاء، ويعمل الوصول الإداري، ويظل اتصال العنقود يعمل إن كنت تشغّل أكثر من عقدة. اختبار VPN وحده ينجح بسهولة بينما البوابة معطلة.
اختم بكتابة المسار المسموح لكل خدمة: أي مقبس، وأي ارتباط، وأي قاعدة إعادة توجيه، وأي ضابط شبكة. تلك الوثيقة هي المخرج الأمني المفيد. أما العدد الأدنى من المقابس فليس كذلك، ولا إعادة ضبط جماعية تغلق مستمعين لم ينهِ أحد تحديدهم.