Σε ποιες θύρες ακούει πραγματικά το OpenVPN Access Server;

Εκτελείτε ss -lntup σε έναν κόμβο Access Server και παίρνετε μια λίστα διπλάσια σε μήκος από το αναμενόμενο. Οι μισές καταχωρίσεις είναι θύρες σε μορφή δαίμονα που κανείς δεν ανέφερε κατά την εγκατάσταση. Το αντανακλαστικό είναι να κλείσετε ό,τι δεν είναι 443 ή 1194, και έτσι οι άνθρωποι σπάνε τη δική τους πελατειακή πύλη.

Το Access Server δεν είναι ένας ακροατής. Είναι υπηρεσία VPN, υπηρεσία ιστού και συμμέτοχος συστοιχίας, και μπορεί να δημιουργήσει πρόσθετες θύρες ειδικές για δαίμονες και ανακατευθύνσεις τείχους προστασίας ανάλογα με το πόσους δαίμονες TCP έχετε ρυθμίσει.

Περπατήστε την απογραφή με τη σειρά: διαβάστε τις υποδοχές, χαρτογραφήστε τις γνωστές, ταξινομήστε τις υπόλοιπες κατά κάτοχο και δέσμευση και μετά ελέγξτε τι πραγματικά τις δημοσιεύει.

Ξεκινήστε με μία εντολή μόνο για ανάγνωση

sudo ss -lntup σας δίνει μεταφορά, τοπική διεύθυνση, θύρα και διεργασία κατόχου για κάθε υποδοχή που ακούει. Οι σημαίες έχουν σημασία: -l ακρόαση, -n αριθμητικά, -t TCP, -u UDP, -p διεργασία. Χωρίς root παίρνετε υποδοχές αλλά όχι ονόματα διεργασιών, και αυτή είναι ακριβώς η στήλη που χρειάζεστε για ταξινόμηση.

Καταγράψτε τέσσερα πεδία ανά γραμμή πριν σχηματίσετε οποιαδήποτε γνώμη: πρωτόκολλο, διεύθυνση δέσμευσης, θύρα και εντολή. Κρατήστε την έκδοση του Access Server και τον ρυθμισμένο αριθμό δαιμόνων δίπλα σε αυτή τη λίστα, γιατί και τα δύο αλλάζουν το αναμενόμενο.

Δύο γραμμές που φαίνονται ίδιες δεν είναι. TCP και UDP στον ίδιο αριθμό είναι ξεχωριστές υποδοχές με ξεχωριστή έκθεση, και 0.0.0.0 και :: είναι ξεχωριστές δεσμεύσεις για ξεχωριστές οικογένειες διευθύνσεων. Μια υπηρεσία δεσμευμένη μόνο στο 127.0.0.1 δεν είναι άμεσα προσβάσιμη από άλλον κόμβο, αν και μια τοπική ανακατεύθυνση μπορεί ακόμη να τη δημοσιεύσει.

Οι ακροατές που θα πρέπει να αναγνωρίζετε

Αυτές οι προεπιλογές καλύπτουν τις περισσότερες εγκαταστάσεις και σας δίνουν μια βάση σύγκρισης. Είναι προεπιλογές, όχι πλήρης λίστα επιτρεπόμενων.

Οτιδήποτε πέρα από αυτό χρειάζεται εξήγηση, όχι υπόθεση. Συχνά θα βλέπετε ακροατές μόνο τοπικής πρόσβασης που ανήκουν σε στοιχεία που εγκαθιστά το προϊόν για τον εαυτό του. Επιβεβαιώστε τους μέσω PID και ρύθμισης υπηρεσίας αντί για έναν θυμημένο αριθμό θύρας, και μην αντιμετωπίζετε μια άγνωστη θύρα ως εχθρική μόνο επειδή είναι άγνωστη.

Μια υποδοχή έξω από το γνωστό ζεύγος επίσης δεν είναι αυτόματα υπόλειμμα. Όταν έχουν ρυθμιστεί πολλοί δαίμονες TCP, το Access Server δημιουργεί ακροατές ανά δαίμονα και ανακατευθύνει την κίνηση σε αυτούς, οπότε ο αριθμός και οι τιμές θυρών τους ακολουθούν αυτή τη ρύθμιση.

Ταξινομήστε πριν κλείσετε οτιδήποτε

Για κάθε αβέβαιη γραμμή, απαντήστε σε τρεις ερωτήσεις με αυτή τη σειρά.

1. Κάτοχος και σκοπός. Αντιστοιχίστε το PID σε μια μονάδα ή διεργασία και διαβάστε τη ρύθμιση αυτής της υπηρεσίας. Αν δεν μπορείτε να ονομάσετε τον κάτοχο, δεν είστε έτοιμοι να αποφασίσετε τίποτα για την υποδοχή.
2. Εύρος δέσμευσης. Το loopback είναι τοπικό στον χώρο ονομάτων. Μια δέσμευση wildcard είναι προσβάσιμη μόνο αν το επιτρέπουν η δρομολόγηση, το φιλτράρισμα κόμβου και τυχόν κανόνες σε επίπεδο cloud, άρα η διεύθυνση δέσμευσης είναι απαραίτητη αλλά όχι αρκετή. Ελέγξτε το IPv4 και το IPv6 ως ξεχωριστές αποφάσεις.
3. Δημοσιευμένη διαδρομή. Αναζητήστε προώθηση υπηρεσίας, ανακατευθύνσεις ειδικές για δαίμονες, εξωτερικό διαμεσολαβητή και την αποτελεσματική πολιτική τείχους προστασίας. Αυτό είναι το βήμα που οι άνθρωποι παραλείπουν, και είναι αυτό που μετατρέπει μια ακίνδυνη φαινομενικά θύρα backend σε προσβάσιμη διοικητική διαδρομή.

Η ίδια ερώτηση διαβάζεται διαφορετικά από έξω από τον κόμβο. Μια θύρα χωρίς κανόνα τείχους προστασίας κόμβου μπορεί να κλείσει από ομάδα ασφαλείας cloud, και μια θύρα με επιτρεπτικό κανόνα κόμβου μπορεί να είναι μη προσβάσιμη επειδή τίποτα δεν δρομολογείται προς αυτήν. Κοιτάξτε και τα δύο άκρα πριν γράψετε το συμπέρασμα της απογραφής.

Όπου η δημοσιευμένη διαδρομή διαφέρει από τη λίστα υποδοχών

Η ίδια η τεκμηρίωση του Access Server καλύπτει την περίπτωση που προκαλεί τη μεγαλύτερη σύγχυση: όταν τρέχουν πολλοί δαίμονες TCP, η μπροστινή θύρα προωθεί σε θύρες ειδικές για δαίμονες, και η ορατή διάταξη παύει να ταιριάζει με τη λίστα υποδοχών. Το φροντιστήριο φιλτραρίσματος της διεπαφής ιστού περιγράφει αυτούς τους κανόνες και γιατί ένα φίλτρο γραμμένο μόνο για την προφανή θύρα μπορεί να χάσει εντελώς την ανακατευθυνόμενη διαδρομή.

Ο έλεγχος συστοιχίας είναι το δεύτερο σημείο όπου η έκδοση έχει σημασία. Στην 3.0 και νεότερη μοιράζεται τη 943· παλαιότερες ρυθμίσεις συστοιχίας χρησιμοποιούσαν τη 945. Το άνοιγμα ή το μπλοκάρισμα μιας από αυτές χωρίς έλεγχο της έκδοσης παράγει μια απογραφή που φαίνεται τακτοποιημένη και είναι λανθασμένη.

Έτσι, η εξωτερικά ορατή επιφάνεια είναι η ένωση τριών πραγμάτων: υποδοχές που ακούνε, κανόνες προώθησης που τις επαναδημοσιεύουν και οι δικτυακοί έλεγχοι μπροστά από τον κόμβο. Κάθε απογραφή που καταγράφει μόνο το πρώτο είναι ελλιπής, και κάθε αλλαγή που εξετάζει μόνο το πρώτο είτε θα αφήσει μια διαδρομή ανοιχτή είτε θα κόψει μια υπηρεσία.

Επαληθεύστε μετά από κάθε αλλαγή

Αλλάξτε τις ρυθμίσεις ακροατή μέσω του υποστηριζόμενου κατόχου ρύθμισης και κρατήστε ανοιχτή μια κονσόλα ανάκτησης όσο το κάνετε. Η απώλεια διοικητικής πρόσβασης σε διεπαφή ιστού σε απομακρυσμένο κόμβο δεν ανακτάται μέσω του VPN που μόλις απενεργοποιήσατε.

Στη συνέχεια επικυρώστε τα τέσσερα πράγματα που χρειάζεται συνήθως μια εγκατάσταση: ένας πελάτης VPN συνδέεται, η πελατειακή πύλη φορτώνει, η διοικητική πρόσβαση λειτουργεί και η επικοινωνία συστοιχίας εξακολουθεί να λειτουργεί αν τρέχετε περισσότερους από έναν κόμβους. Ένα τεστ μόνο VPN περνά άνετα ενώ η πύλη είναι χαλασμένη.

Ολοκληρώστε γράφοντας την επιτρεπόμενη διαδρομή για κάθε υπηρεσία: ποια υποδοχή, ποια δέσμευση, ποιος κανόνας προώθησης, ποιος δικτυακός έλεγχος. Αυτό το έγγραφο είναι το χρήσιμο αποτέλεσμα ασφαλείας. Ένας ελάχιστος αριθμός υποδοχών δεν είναι, ούτε μια μαζική επαναφορά που κλείνει ακροατές που κανείς δεν πρόλαβε να ταυτοποιήσει.