Ո՞ր պորտերով է իրականում լսում OpenVPN Access Server-ը։
Անցեք Access Server հոսթի սոքեթների ցանկով․ ճանաչեք լռելյայն լսողներին, տարբերեք loopback-ը հրապարակված պորտերից և ստուգեք փոխանցումը նախքան պորտը փակելը։
Դուք գործարկում եք ss -lntup Access Server հոսթում և ստանում եք ցանկ, որը երկու անգամ ավելի երկար է, քան սպասվում էր։ Գրառումների կեսը դեմոնանման պորտեր են, որոնց մասին տեղադրման ընթացքում ոչ ոք չի նշել։ Ռեֆլեքսը փակել այն ամենը, ինչ 443 կամ 1194 չէ, և հենց այդպես մարդիկ կոտրում են իրենց իսկ հաճախորդային պորտալը։
Access Server-ը մեկ լսող չէ։ Այն VPN ծառայություն է, վեբ ծառայություն և կլաստերի մասնակից, և կարող է ստեղծել լրացուցիչ դեմոնային պորտեր ու firewall վերահասցեավորումներ՝ կախված ձեր կարգավորած TCP դեմոնների քանակից։
Անցեք գույքագրումը հերթականությամբ․ կարդացեք սոքեթները, քարտեզագրեք ծանոթներինը, դասակարգեք մնացածը տիրոջ և կապի հիման վրա, ապա ստուգեք, թե իրականում ինչն է դրանք հրապարակում։
Սկսեք մեկ միայն-ընթերցման հրամանով
sudo ss -lntup ձեզ տալիս է տրանսպորտ, տեղական հասցե, պորտ և տեր գործընթաց յուրաքանչյուր լսող սոքեթի համար։ Դրոշները կարևոր են․ -l լսել, -n թվային, -t TCP, -u UDP, -p գործընթաց։ Առանց root-ի դուք ստանում եք սոքեթներ, բայց ոչ գործընթացների անուններ, և հենց այդ սյունն է պետք դասակարգման համար։
Նախքան որևէ կարծիք կազմելը յուրաքանչյուր տողի համար գրանցեք չորս դաշտ․ արձանագրություն, կապի հասցե, պորտ և հրաման։ Պահեք Access Server-ի տարբերակը և կարգավորված դեմոնների քանակը այդ ցանկի կողքին, քանի որ երկուսն էլ փոխում են սպասելիքը։
Երկու նույնական տեսք ունեցող տողեր նույնական չեն։ Նույն համարի վրա TCP-ն և UDP-ն առանձին սոքեթներ են՝ առանձին ազդեցությամբ, և 0.0.0.0 և :: առանձին կապեր են առանձին հասցեների ընտանիքների համար։ Միայն 127.0.0.1 հասցեին կապված ծառայությունը ուղղակիորեն հասանելի չէ այլ հոսթից, թեև տեղական վերահասցեավորումը դեռ կարող է հրապարակել այն։
Լսողները, որոնք դուք պետք է ճանաչեք
Այս լռելյայնները ընդգրկում են տեղակայումների մեծ մասը և տալիս են համեմատության հիմք։ Դրանք լռելյայն են, ոչ թե թույլատրելիների ամբողջական ցանկ։
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
Ամեն ինչ դրանից այն կողմ բացատրություն է պահանջում, ոչ ենթադրություն։ Հաճախ կտեսնեք միայն-տեղական լսողներ, որոնք պատկանում են արտադրանքի ինքն իր համար տեղադրած բաղադրիչներին։ Հաստատեք դրանք PID-ով և ծառայության կարգավորմամբ, ոչ թե հիշված պորտի համարով, և անծանոթ պորտը թշնամական մի համարեք միայն անծանոթ լինելու պատճառով։
Ծանոթ զույգից դուրս սոքեթը նույնպես ինքնաբերաբար մնացորդ չէ։ Երբ կարգավորված են մի քանի TCP դեմոններ, Access Server-ը ստեղծում է լսողներ յուրաքանչյուր դեմոնի համար և երթևեկությունը վերահասցեավորում է դրանց, ուստի դրանց քանակը և պորտերի արժեքները հետևում են այդ կարգավորմանը։
Դասակարգեք նախքան որևէ բան փակելը
Յուրաքանչյուր անորոշ տողի համար պատասխանեք երեք հարցի այս հերթականությամբ։
- Տեր և նպատակ։ Համապատասխանեցրեք PID-ը միավորի կամ գործընթացի հետ և կարդացեք այդ ծառայության կարգավորումը։ Եթե չեք կարող անվանել տիրոջը, պատրաստ չեք սոքեթի մասին որևէ որոշում կայացնել։
- Կապի շրջանակ։ Loopback-ը տեղական է անվանատարածքի համար։ Wildcard կապը հասանելի է միայն այն դեպքում, երբ երթուղավորումը, հոսթի զտումը և ամպային մակարդակի ցանկացած կանոն թույլ են տալիս, այնպես որ կապի հասցեն անհրաժեշտ է, բայց բավարար չէ։ Ստուգեք IPv4-ը և IPv6-ը որպես առանձին որոշումներ։
- Հրապարակված ուղի։ Փնտրեք ծառայության փոխանցում, դեմոնային վերահասցեավորումներ, արտաքին պրոքսի և արդյունավետ firewall քաղաքականություն։ Սա այն քայլն է, որը մարդիկ բաց են թողնում, և հենց այն է, որ անվնաս թվացող backend պորտը դարձնում է հասանելի վարչական ուղի։
Նույն հարցը հոսթից դուրս այլ կերպ է կարդացվում։ Առանց հոսթի firewall կանոնի պորտը դեռ կարող է փակվել ամպային անվտանգության խմբի կողմից, և թույլատրող հոսթի կանոնով պորտը կարող է անհասանելի լինել, քանի որ ոչինչ դեպի այն չի երթուղավորվում։ Նայեք երկու ծայրերին նախքան գույքագրման եզրակացությունը գրելը։
Որտեղ հրապարակված ուղին տարբերվում է սոքեթների ցանկից
Access Server-ի սեփական փաստաթղթերը լուսաբանում են այն դեպքը, որն ամենաշատ շփոթություն է առաջացնում․ երբ մի քանի TCP դեմոն է աշխատում, առջևի պորտը վերահասցեավորում է դեմոնային պորտերին, և տեսանելի դասավորությունը դադարում է համապատասխանել սոքեթների ցանկին։ վեբ ինտերֆեյսի զտման ձեռնարկը նկարագրում է այդ կանոնները և ինչու միայն ակնհայտ պորտի համար գրված զտիչը կարող է բաց թողնել վերահասցեավորված ուղին ամբողջությամբ։
Կլաստերի կառավարումը երկրորդ տեղն է, որտեղ տարբերակը կարևոր է։ 3.0-ից սկսած այն կիսում է 943-ը․ ավելի հին կլաստերի կարգավորումներն օգտագործում էին 945։ Դրանցից մեկը տարբերակը չստուգելով բացելը կամ արգելափակելը ստեղծում է կոկիկ տեսք ունեցող և սխալ գույքագրում։
Այսպիսով, արտաքինից տեսանելի մակերևույթը երեք բանի միավորումն է․ լսող սոքեթներ, դրանք վերահրապարակող փոխանցման կանոններ և հոսթի առջևի ցանցային հսկողություններ։ Ցանկացած գույքագրում, որը գրանցում է միայն առաջինը, թերի է, և ցանկացած փոփոխություն, որը հաշվի է առնում միայն առաջինը, կա՛մ ուղի կթողնի բաց, կա՛մ ծառայություն կկտրի։
Ստուգեք ցանկացած փոփոխությունից հետո
Փոխեք լսողի կարգավորումները աջակցվող կարգավորումների տիրոջ միջոցով և այդ ընթացքում բաց պահեք վերականգնման կոնսոլը։ Հեռավոր հոսթի վեբ ինտերֆեյսի վարչական հասանելիության կորուստը չի վերականգնվում այն VPN-ով, որը դուք հենց նոր անջատեցիք։
Այնուհետև վավերացրեք այն չորս բաները, որոնց սովորաբար կարիք ունի տեղակայումը․ VPN հաճախորդը միանում է, հաճախորդային պորտալը բեռնվում է, վարչական հասանելիությունը աշխատում է, և կլաստերի հաղորդակցությունը դեռ գործում է, եթե աշխատեցնում եք մեկից ավելի հանգույց։ Միայն-VPN թեստը հարմարավետ անցնում է, մինչ պորտալը կոտրված է։
Ավարտեք՝ գրի առնելով յուրաքանչյուր ծառայության թույլատրված ուղին․ որ սոքեթը, որ կապը, որ փոխանցման կանոնը, որ ցանցային հսկողությունը։ Այդ փաստաթուղթն է օգտակար անվտանգության արդյունքը։ Սոքեթների նվազագույն քանակը չէ, և զանգվածային վերակայումը, որը փակում է լսողներ, որոնց ոչ ոք չի հասցրել նույնականացնել, նույնպես չէ։