Pa borthoedd y mae OpenVPN Access Server yn gwrando arnynt mewn gwirionedd?

Rydych yn rhedeg ss -lntup ar westeiwr Access Server ac yn cael rhestr ddwywaith mor hir ag y disgwylid. Mae hanner y cofnodion yn borthoedd ar ffurf daemon na soniodd neb amdanynt yn ystod y gosodiad. Y reddf yw cau popeth nad yw’n 443 nac yn 1194, a dyna sut mae pobl yn torri eu porth cleient eu hunain.

Nid un gwrandawr yw Access Server. Mae’n wasanaeth VPN, yn wasanaeth gwe ac yn gyfranogwr clwstwr, a gall greu porthoedd ychwanegol sy’n benodol i ddaemonau a ailgyfeiriadau mur tân yn dibynnu ar faint o ddaemonau TCP a ffurfweddwyd gennych.

Cerddwch drwy’r rhestr yn ei thro: darllenwch y socedi, mapiwch y rhai cyfarwydd, dosbarthwch y gweddill yn ôl perchennog a rhwymiad, yna gwiriwch beth sy’n eu cyhoeddi mewn gwirionedd.

Dechreuwch ag un gorchymyn darllen yn unig

sudo ss -lntup yn rhoi cludiant, cyfeiriad lleol, porth a phroses berchnogol ar gyfer pob soced sy’n gwrando. Mae’r baneri yn bwysig: -l gwrando, -n rhifol, -t TCP, -u UDP, -p proses. Heb root rydych yn cael socedi ond nid enwau prosesau, a dyna’r union golofn sydd ei hangen arnoch i ddosbarthu.

Cofnodwch bedwar maes fesul rhes cyn ffurfio unrhyw farn: protocol, cyfeiriad rhwymo, porth a gorchymyn. Cadwch fersiwn Access Server a’r nifer daemonau a ffurfweddwyd wrth ymyl y rhestr honno, oherwydd mae’r ddau yn newid yr hyn a ddisgwylir.

Nid yw dwy restr sy’n edrych yn union yr un fath yr un fath. Mae TCP a UDP ar yr un rhif yn socedi ar wahân ag amlygiad ar wahân, ac 0.0.0.0 a :: yn rhwymiadau ar wahân ar gyfer teuluoedd cyfeiriadau ar wahân. Nid yw gwasanaeth sydd wedi’i rwymo i 127.0.0.1 yn unig yn gyrraeddadwy’n uniongyrchol o westeiwr arall, er y gall ailgyfeiriad lleol ei gyhoeddi o hyd.

Y gwrandawyr y dylech eu hadnabod

Mae’r rhagosodiadau hyn yn cwmpasu’r rhan fwyaf o osodiadau ac yn rhoi llinell sylfaen i chi gymharu â hi. Rhagosodiadau ydyn nhw, nid rhestr gyflawn o bethau a ganiateir.

Mae popeth y tu hwnt i hynny angen esboniad, nid tybiaeth. Yn aml fe welwch wrandawyr lleol yn unig sy’n perthyn i gydrannau y mae’r cynnyrch yn eu gosod ar ei gyfer ei hun. Cadarnhewch nhw drwy PID a ffurfweddiad gwasanaeth yn hytrach na rhif porth a gofir, a pheidiwch â thrin porth anghyfarwydd fel un gelyniaethus dim ond am ei fod yn anghyfarwydd.

Nid yw soced y tu allan i’r pâr cyfarwydd yn weddill yn awtomatig chwaith. Pan ffurfweddir sawl daemon TCP, mae Access Server yn creu gwrandawyr fesul daemon ac yn ailgyfeirio traffig atynt, felly mae eu nifer a’u gwerthoedd porth yn dilyn y ffurfweddiad hwnnw.

Dosbarthwch cyn cau unrhyw beth

Ar gyfer pob rhes ansicr, atebwch dri chwestiwn yn y drefn hon.

1. Perchennog a phwrpas. Parwch y PID â uned neu broses a darllenwch ffurfweddiad y gwasanaeth hwnnw. Os na allwch enwi’r perchennog, nid ydych yn barod i benderfynu unrhyw beth am y soced.
2. Cwmpas rhwymo. Mae loopback yn lleol i’r gofod enwau. Dim ond os yw llwybro, hidlo gwesteiwr ac unrhyw reolau ar lefel cwmwl yn caniatáu hynny y mae rhwymiad wildcard yn gyrraeddadwy, felly mae’r cyfeiriad rhwymo yn angenrheidiol ond nid yn ddigonol. Gwiriwch IPv4 ac IPv6 fel penderfyniadau ar wahân.
3. Llwybr cyhoeddedig. Chwiliwch am anfon ymlaen gwasanaeth, ailgyfeiriadau sy’n benodol i ddaemonau, dirprwy allanol a’r polisi mur tân effeithiol. Dyma’r cam y mae pobl yn ei hepgor, a dyma’r un sy’n troi porth backend sy’n edrych yn ddiniwed yn llwybr gweinyddol cyrraeddadwy.

Mae’r un cwestiwn yn darllen yn wahanol o du allan i’r gwesteiwr. Gall grŵp diogelwch cwmwl gau porth heb reol mur tân gwesteiwr o hyd, a gall porth â rheol gwesteiwr ganiataol fod yn anghyrraeddadwy oherwydd nad oes dim yn llwybro ato. Edrychwch ar y ddau ben cyn ysgrifennu casgliad y rhestr.

Lle mae’r llwybr cyhoeddedig yn wahanol i’r rhestr socedi

Mae dogfennaeth Access Server ei hun yn cwmpasu’r achos sy’n achosi’r mwyaf o ddryswch: pan fydd sawl daemon TCP yn rhedeg, mae’r porth blaen yn anfon ymlaen i borthoedd sy’n benodol i ddaemonau, ac mae’r drefn weladwy yn peidio â chyfateb i’r rhestr socedi. tiwtorial hidlo’r rhyngwyneb gwe yn disgrifio’r rheolau hynny a pham y gall hidlydd a ysgrifennwyd ar gyfer y porth amlwg yn unig fethu’r llwybr a ailgyfeiriwyd yn gyfan gwbl.

Rheolaeth clwstwr yw’r ail le lle mae’r fersiwn yn bwysig. Ar 3.0 a mwy mae’n rhannu 943; roedd ffurfweddiadau clwstwr hŷn yn defnyddio 945. Mae agor neu rwystro un ohonynt heb wirio’r fersiwn yn cynhyrchu rhestr sy’n edrych yn daclus ac sy’n anghywir.

Felly’r arwyneb gweladwy o’r tu allan yw uno tri pheth: socedi sy’n gwrando, rheolau anfon ymlaen sy’n eu hailgyhoeddi, a’r rheolaethau rhwydwaith o flaen y gwesteiwr. Mae unrhyw restr sy’n cofnodi’r cyntaf yn unig yn anghyflawn, a bydd unrhyw newid sy’n ystyried y cyntaf yn unig naill ai’n gadael llwybr yn agored neu’n torri gwasanaeth i ffwrdd.

Gwiriwch ar ôl unrhyw newid

Newidiwch osodiadau gwrandawr drwy’r perchennog ffurfweddu a gefnogir a chadwch gonsol adfer ar agor wrth wneud hynny. Nid yw colli mynediad gweinyddol i ryngwyneb gwe ar westeiwr o bell yn adferadwy drwy’r VPN a analluogwyd gennych newydd.

Yna dilyswch y pedwar peth y mae gosodiad fel arfer eu hangen: mae cleient VPN yn cysylltu, mae’r porth cleient yn llwytho, mae mynediad gweinyddol yn gweithio, ac mae cyfathrebu clwstwr yn dal i weithredu os ydych yn rhedeg mwy nag un nod. Mae prawf VPN yn unig yn pasio’n gysurus tra bod y porth wedi torri.

Gorffennwch drwy ysgrifennu’r llwybr a ganiateir ar gyfer pob gwasanaeth: pa soced, pa rwymiad, pa reol anfon ymlaen, pa reolaeth rhwydwaith. Y ddogfen honno yw’r allbwn diogelwch defnyddiol. Nid yw cyfrif lleiaf o socedi, ac nid yw ychwaith ailosodiad torfol sy’n cau gwrandawyr nad oes neb wedi gorffen eu hadnabod.