Millistel portidel OpenVPN Access Server tegelikult kuulab?
Käige läbi Access Serveri hosti soketiloend: tuvastage vaikimisi kuulajad, eristage loopback avaldatud portidest ja kontrollige edastust enne pordi sulgemist.
Te käivitate ss -lntup Access Serveri hostis ja saate kaks korda oodatust pikema loendi. Pool kirjeid on deemonikujulised pordid, mida keegi paigaldamise ajal ei maininud. Refleks on sulgeda kõik, mis pole 443 ega 1194, ja nii lõhuvad inimesed oma kliendiportaali.
Access Server ei ole üks kuulaja. See on VPN-teenus, veebiteenus ja klastri osaleja ning võib sõltuvalt konfigureeritud TCP-deemonite arvust luua täiendavaid deemonipõhiseid porte ja tulemüüri ümbersuunamisi.
Käige loend järjekorras läbi: lugege sokette, kaardistage tuttavad, klassifitseerige ülejäänud omaniku ja sidumise järgi ning seejärel kontrollige, mis neid tegelikult avaldab.
Alustage ühe ainult lugemise käsuga
sudo ss -lntup annab teile iga kuulava soketi jaoks transpordi, kohaliku aadressi, pordi ja omanikuprotsessi. Lipud on olulised: -l kuulamine, -n numbriline, -t TCP, -u UDP, -p protsess. Juurõigusteta saate soketid, kuid mitte protsessinimesid, ja just see veerg on teil klassifitseerimiseks vaja.
Enne mis tahes arvamuse kujundamist kirjutage iga rea kohta neli välja: protokoll, sidumisaadress, port ja käsk. Hoidke Access Serveri versioon ja konfigureeritud deemonite arv selle loendi kõrval, sest mõlemad muudavad oodatavat.
Kaks identsena näivat rida ei ole identsed. TCP ja UDP samal numbril on eraldi soketid eraldi nähtavusega ning 0.0.0.0 ja :: on eraldi sidumised eraldi aadressiperekondade jaoks. Ainult aadressile 127.0.0.1 seotud teenus ei ole teisest hostist otseselt kättesaadav, kuigi kohalik ümbersuunamine võib selle siiski avaldada.
Kuulajad, mida peaksite ära tundma
Need vaikeväärtused katavad enamiku paigaldustest ja annavad võrdlusaluse. Need on vaikeväärtused, mitte täielik lubatud loend.
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
Kõik sellest kaugemale vajab selgitust, mitte oletust. Sageli näete ainult kohalikke kuulajaid, mis kuuluvad komponentidele, mille toode ise paigaldab. Kinnitage need PID-i ja teenuse konfiguratsiooni abil, mitte meelde jäänud pordi numbri järgi, ja ärge käsitlege tundmatut porti vaenulikuna üksnes tundmatuse pärast.
Tuttavast paarist väljaspool olev soket ei ole samuti automaatselt jääk. Kui on konfigureeritud mitu TCP-deemonit, loob Access Server iga deemoni jaoks kuulajad ja suunab liiklust neile, seega nende arv ja pordiväärtused järgivad seda konfiguratsiooni.
Klassifitseerige enne, kui midagi sulgete
Iga ebakindla rea puhul vastake kolmele küsimusele selles järjekorras.
- Omanik ja eesmärk. Siduge PID üksuse või protsessiga ja lugege selle teenuse konfiguratsiooni. Kui te ei suuda omanikku nimetada, ei ole te valmis soketi kohta midagi otsustama.
- Sidumise ulatus. Loopback on nimeruumi suhtes kohalik. Wildcard-sidumine on kättesaadav ainult siis, kui marsruutimine, hosti filtreerimine ja võimalikud pilvetasandi reeglid seda lubavad, seega on sidumisaadress vajalik, kuid mitte piisav. Kontrollige IPv4 ja IPv6 eraldi otsustena.
- Avaldatud tee. Otsige teenuse edastust, deemonipõhiseid ümbersuunamisi, välist puhverserverit ja kehtivat tulemüüripoliitikat. See on samm, mille inimesed vahele jätavad, ja just see muudab kahjutu näiva backend-pordi kättesaadavaks haldusteeks.
Sama küsimus loetakse hosti väljastpoolt teisiti. Hosti tulemüürireeglita porti võib siiski sulgeda pilve turvagrupp, ja lubava hostireegliga port võib olla kättesaamatu, sest miski ei marsruudi sinna. Vaadake mõlemat otsa enne loendi järelduse kirjutamist.
Kus avaldatud tee erineb soketiloendist
Access Serveri enda dokumentatsioon käsitleb juhtumit, mis tekitab kõige rohkem segadust: kui töötab mitu TCP-deemonit, edastab esiport deemonipõhistele portidele ja nähtav paigutus lakkab soketiloendiga sobimast. veebiliidese filtreerimise õpetus kirjeldab neid reegleid ja miks ainult ilmselgele pordile kirjutatud filter võib ümbersuunatud tee täielikult vahele jätta.
Klastri juhtimine on teine koht, kus versioon loeb. Versioonis 3.0 ja uuemates jagab see 943; vanemad klastrikonfiguratsioonid kasutasid 945. Ühe neist avamine või blokeerimine ilma versiooni kontrollimata annab korrastatud välimusega ja vale loendi.
Seega on väljast nähtav pind kolme asja liit: kuulavad soketid, neid uuesti avaldavad edastusreeglid ja hosti ees olevad võrgukontrollid. Iga loend, mis registreerib ainult esimese, on puudulik, ja iga muudatus, mis arvestab ainult esimest, jätab kas tee avatuks või lõikab teenuse ära.
Kontrollige pärast iga muudatust
Muutke kuulaja seadeid toetatud konfiguratsiooniomaniku kaudu ja hoidke taastamiskonsool avatud, kui seda teete. Haldusjuurdepääsu kaotamine kaugserveri veebiliidesele ei ole taastatav VPN-i kaudu, mille just keelasite.
Seejärel valideerige neli asja, mida paigaldus tavaliselt vajab: VPN-klient ühendub, kliendiportaal laaditakse, haldusjuurdepääs töötab ja klastrisuhtlus toimib endiselt, kui käitate rohkem kui ühte sõlme. Ainult VPN-i test läbib mugavalt, kui portaal on katki.
Lõpetage, kirjutades iga teenuse lubatud tee üles: milline soket, milline sidumine, milline edastusreegel, milline võrgukontroll. See dokument on kasulik turvaväljund. Minimaalne soketite arv ei ole, ja seda ei ole ka massiline lähtestamine, mis sulgeb kuulajad, keda keegi ei jõudnud tuvastada.