על אילו פורטים OpenVPN Access Server באמת מאזין?
עברו על רשימת הסוקטים במארח Access Server: זהו את המאזינים המוגדרים כברירת מחדל, הבדילו בין loopback לפורטים מפורסמים, ובדקו העברה לפני סגירת פורט.
אתם מריצים ss -lntup על מארח Access Server ומקבלים רשימה ארוכה פי שניים מהצפוי. חצי מהרשומות הן פורטים בצורת דמון שאיש לא הזכיר במהלך ההתקנה. הרפלקס הוא לסגור כל דבר שאינו 443 או 1194, וכך אנשים שוברים את פורטל הלקוחות של עצמם.
Access Server אינו מאזין אחד. הוא שירות VPN, שירות אינטרנט ומשתתף באשכול, והוא יכול ליצור פורטים נוספים ייעודיים לדמונים והפניות חומת אש בהתאם למספר דמוני ה-TCP שהגדרתם.
עברו על המלאי לפי הסדר: קראו את הסוקטים, מפו את המוכרים, סווגו את השאר לפי בעלים וכריכה, ואז בדקו מה באמת מפרסם אותם.
התחילו בפקודה אחת לקריאה בלבד
sudo ss -lntup נותנת לכם תעבורה, כתובת מקומית, פורט ותהליך בעלים לכל סוקט מאזין. הדגלים חשובים: -l האזנה, -n מספרי, -t TCP, -u UDP, -p תהליך. בלי root תקבלו סוקטים אבל לא שמות תהליכים, וזה בדיוק העמודה שצריך לסיווג.
רשמו ארבעה שדות לכל שורה לפני שאתם מגבשים דעה: פרוטוקול, כתובת כריכה, פורט ופקודה. שמרו את גרסת Access Server ואת מספר הדמונים המוגדר לצד הרשימה, כי שניהם משנים את מה שצפוי.
שתי שורות שנראות זהות אינן זהות. TCP ו-UDP על אותו מספר הם סוקטים נפרדים עם חשיפה נפרדת, ו 0.0.0.0 ו :: כריכות נפרדות למשפחות כתובות נפרדות. שירות שכרוך רק אל 127.0.0.1 אינו נגיש ישירות ממארח אחר, אם כי הפניה מקומית עדיין יכולה לפרסם אותו.
המאזינים שכדאי לזהות
ברירות המחדל האלה מכסות את רוב הפריסות ונותנות לכם קו בסיס להשוואה. הן ברירות מחדל, לא רשימת הרשאות מלאה.
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
כל מה שמעבר לכך דורש הסבר, לא הנחה. לעתים קרובות תראו מאזינים מקומיים בלבד השייכים לרכיבים שהמוצר מתקין לעצמו. אשרו אותם לפי PID ותצורת השירות ולא לפי מספר פורט שזכרתם, ואל תתייחסו לפורט לא מוכר כעוין רק בגלל חוסר ההיכרות.
סוקט מחוץ לזוג המוכר גם אינו שארית אוטומטית. כשמוגדרים כמה דמוני TCP, Access Server יוצר מאזינים לכל דמון ומפנה אליהם תעבורה, ולכן מספרם וערכי הפורטים שלהם הולכים אחרי אותה תצורה.
סווגו לפני שתסגרו משהו
לכל שורה לא ודאית, ענו על שלוש שאלות בסדר הזה.
- בעלים ומטרה. התאימו את ה-PID ליחידה או לתהליך וקראו את תצורת השירות. אם אינכם יכולים לנקוב בשם הבעלים, אינכם מוכנים להחליט דבר על הסוקט.
- היקף הכריכה. Loopback מקומי למרחב השמות. כריכת wildcard נגישה רק אם הניתוב, סינון המארח וכל כלל ברמת הענן מאפשרים זאת, כך שכתובת הכריכה הכרחית אך אינה מספקת. בדקו IPv4 ו-IPv6 כהחלטות נפרדות.
- נתיב מפורסם. חפשו העברת שירות, הפניות ייעודיות לדמונים, פרוקסי חיצוני ומדיניות חומת אש אפקטיבית. זה השלב שאנשים מדלגים עליו, והוא זה שהופך פורט backend תמים למראה לנתיב ניהולי נגיש.
אותה שאלה נקראת אחרת מחוץ למארח. פורט בלי כלל חומת אש במארח עדיין יכול להיסגר על ידי קבוצת אבטחה בענן, ופורט עם כלל מארח מתירני יכול להיות בלתי נגיש כי שום דבר לא מנתב אליו. הסתכלו על שני הקצוות לפני שתכתבו את מסקנת המלאי.
איפה הנתיב המפורסם שונה מרשימת הסוקטים
התיעוד של Access Server עצמו מכסה את המקרה שגורם לבלבול הרב ביותר: כשכמה דמוני TCP פועלים, הפורט הקדמי מפנה לפורטים ייעודיים לדמונים, והפריסה הנראית מפסיקה להתאים לרשימת הסוקטים. מדריך סינון ממשק האינטרנט מתאר את הכללים האלה ולמה מסנן שנכתב רק לפורט הברור יכול להחמיץ לגמרי את הנתיב המופנה.
בקרת האשכול היא המקום השני שבו הגרסה חשובה. ב-3.0 ומעלה היא חולקת 943; תצורות אשכול ישנות יותר השתמשו ב-945. פתיחה או חסימה של אחד מהם בלי לבדוק את הגרסה מייצרת מלאי שנראה מסודר והוא שגוי.
אז המשטח הנראה מבחוץ הוא איחוד של שלושה דברים: סוקטים מאזינים, כללי העברה שמפרסמים אותם מחדש, ובקרות הרשת שלפני המארח. כל מלאי שמתעד רק את הראשון אינו שלם, וכל שינוי שמתחשב רק בראשון ישאיר נתיב פתוח או ינתק שירות.
אמתו אחרי כל שינוי
שנו את הגדרות המאזין דרך בעל התצורה הנתמך והשאירו קונסולת שחזור פתוחה בזמן שאתם עושים זאת. אובדן גישה ניהולית לממשק אינטרנט במארח מרוחק אינו ניתן לשחזור דרך ה-VPN שהשבתתם זה עתה.
לאחר מכן אמתו את ארבעת הדברים שפריסה בדרך כלל צריכה: לקוח VPN מתחבר, פורטל הלקוחות נטען, הגישה הניהולית עובדת, ותקשורת האשכול עדיין פועלת אם אתם מריצים יותר מצומת אחד. בדיקה של VPN בלבד עוברת בנוחות בזמן שהפורטל שבור.
סיימו בכתיבת הנתיב המורשה לכל שירות: איזה סוקט, איזו כריכה, איזה כלל העברה, איזו בקרת רשת. המסמך הזה הוא פלט האבטחה השימושי. מספר סוקטים מינימלי אינו, וגם לא איפוס גורפי שסוגר מאזינים שאיש לא סיים לזהות.