OpenVPN Access Server həqiqətən hansı portlarda dinləyir?
Access Server hostunda soket siyahısını vərəqləyin: standart dinləyiciləri tanıyın, loopback-i açıqlanmış portlardan ayırın və portu bağlamazdan əvvəl yönləndirməni yoxlayın.
Siz ss -lntup əmrini Access Server hostunda işlədirsiniz və gözləniləndən iki qat uzun siyahı alırsınız. Girişlərin yarısı quraşdırma zamanı heç kimin qeyd etmədiyi demon formalı portlardır. Refleks 443 və ya 1194 olmayan hər şeyi bağlamaqdır və insanlar öz müştəri portalını belə sındırır.
Access Server tək dinləyici deyil. O, VPN xidməti, veb xidməti və klaster iştirakçısıdır və konfiqurasiya etdiyiniz TCP demonlarının sayından asılı olaraq əlavə demon-spesifik portlar və firewall yönləndirmələri yarada bilər.
İnventarı sıra ilə vərəqləyin: soketləri oxuyun, tanış olanları xəritələyin, qalanları sahib və bind üzrə təsnif edin, sonra onları həqiqətən nəyin açıqladığını yoxlayın.
Bir yalnız-oxu əmri ilə başlayın
sudo ss -lntup hər dinləyən soket üçün nəqliyyat, yerli ünvan, port və sahib prosesi verir. Bayraqlar vacibdir: -l dinləmə, -n rəqəmsal, -t TCP, -u UDP, -p proses. Root olmadan soketləri alırsınız, amma proses adlarını yox, halbuki təsnifat üçün məhz həmin sütun lazımdır.
Hər sətir üçün fikir formalaşdırmazdan əvvəl dörd sahə qeyd edin: protokol, bind ünvanı, port və əmr. Access Server versiyasını və konfiqurasiya edilmiş demon sayını bu siyahının yanında saxlayın, çünki ikisi də gözləniləni dəyişir.
Eyni görünən iki sətir eyni deyil. Eyni nömrə üzrə TCP və UDP ayrı məruz qalma ilə ayrı soketlərdir və 0.0.0.0 və :: ayrı ünvan ailələri üçün ayrı bind-lərdir. Yalnız 127.0.0.1 ünvanına bağlanmış xidmət başqa hostdan birbaşa əlçatan deyil, baxmayaraq ki, yerli yönləndirmə onu hələ də açıqlaya bilər.
Tanımalı olduğunuz dinləyicilər
Bu standartlar əksər yerləşdirmələri əhatə edir və müqayisə üçün baza verir. Onlar standartdır, tam icazə siyahısı deyil.
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
Bundan kənar hər şey izah tələb edir, fərziyyə deyil. Çox vaxt məhsulun özü üçün quraşdırdığı komponentlərə aid yalnız-yerli dinləyicilər görəcəksiniz. Onları yadda saxlanılan port nömrəsi ilə deyil, PID və xidmət konfiqurasiyası ilə təsdiqləyin və tanımadığınız portu yalnız tanış olmadığına görə düşmən saymayın.
Tanış cütdən kənar soket də avtomatik olaraq qalıq deyil. Birdən çox TCP demonu konfiqurasiya edildikdə, Access Server hər demon üçün dinləyicilər yaradır və trafiki onlara yönləndirir, beləliklə onların sayı və port dəyərləri həmin konfiqurasiyaya uyğun gəlir.
Nəyisə bağlamazdan əvvəl təsnif edin
Hər qeyri-müəyyən sətir üçün bu sıra ilə üç suala cavab verin.
- Sahib və məqsəd. PID-i unit və ya proseslə uyğunlaşdırın və həmin xidmətin konfiqurasiyasını oxuyun. Sahibini adlandıra bilmirsinizsə, soket barədə hər hansı qərar verməyə hazır deyilsiniz.
- Bind əhatəsi. Loopback adlar məkanına yerlidir. Wildcard bind yalnız marşrutlaşdırma, host filtrləmə və hər hansı bulud səviyyəli qaydalar icazə verdikdə əlçatandır, yəni bind ünvanı zəruridir, amma kifayət deyil. IPv4 və IPv6-nı ayrı qərarlar kimi yoxlayın.
- Açıqlanmış yol. Xidmət yönləndirməsini, demon-spesifik yönləndirmələri, xarici proksini və effektiv firewall siyasətini axtarın. İnsanların atladığı addım budur və zərərsiz görünən backend portunu əlçatan inzibati yola çevirən də elə həmin addımdır.
Eyni sual hostdan kənardan başqa cür oxunur. Host firewall qaydası olmayan portu bulud təhlükəsizlik qrupu yenə də bağlaya bilər və icazəli host qaydası olan port əlçatmaz ola bilər, çünki ona heç nə marşrutlaşdırmır. İnventar nəticəsini yazmazdan əvvəl hər iki ucuna baxın.
Açıqlanmış yolun soket siyahısından fərqləndiyi yer
Access Server-in öz sənədləri ən çox çaşqınlıq yaradan halı əhatə edir: bir neçə TCP demonu işləyəndə ön port demon-spesifik portlara yönləndirir və görünən düzüm soket siyahısına uyğun gəlməyi dayandırır. veb interfeysinin filtrlənməsi dərsliyi həmin qaydaları və yalnız aşkar port üçün yazılmış filtrin yönləndirilmiş yolu tamamilə necə qaçıra biləcəyini izah edir.
Klaster nəzarəti versiyanın vacib olduğu ikinci yerdir. 3.0 və daha yeni versiyalarda 943-ü paylaşır; köhnə klaster konfiqurasiyaları 945-dən istifadə edirdi. Versiyanı yoxlamadan onlardan birini açmaq və ya bağlamaq səliqəli görünən və yanlış olan inventar yaradır.
Beləliklə, xarici görünən səth üç şeyin birləşməsidir: dinləyən soketlər, onları yenidən açıqlayan yönləndirmə qaydaları və hostun qarşısındakı şəbəkə nəzarətləri. Yalnız birincisini qeyd edən istənilən inventar natamamdır və yalnız birincisini nəzərə alan istənilən dəyişiklik ya yol açıq buraxacaq, ya da xidməti kəsəcək.
Hər dəyişiklikdən sonra yoxlayın
Dinləyici parametrlərini dəstəklənən konfiqurasiya sahibi vasitəsilə dəyişin və bunu edərkən bərpa konsolunu açıq saxlayın. Uzaq hostdakı veb interfeysinə inzibati girişi itirmək indicə söndürdüyünüz VPN vasitəsilə bərpa olunmur.
Sonra yerləşdirmənin adətən ehtiyac duyduğu dörd şeyi yoxlayın: VPN müştərisi qoşulur, müştəri portalı yüklənir, inzibati giriş işləyir və birdən çox node işlədirsinizsə, klaster əlaqəsi hələ də işləyir. Yalnız-VPN testi portal sınıq halda rahat keçir.
Hər xidmət üçün icazə verilmiş yolu yazmaqla bitirin: hansı soket, hansı bind, hansı yönləndirmə qaydası, hansı şəbəkə nəzarəti. Həmin sənəd faydalı təhlükəsizlik nəticəsidir. Minimal soket sayı deyil və heç kimin identifikasiyanı bitirmədiyi dinləyiciləri bağlayan kütləvi sıfırlama da deyil.