Á hvaða gáttum hlustar OpenVPN Access Server í raun?

Þú keyrir ss -lntup á Access Server-host og færð lista sem er tvöfalt lengri en búist var við. Helmingur færslnanna eru gáttir í líki daemons sem enginn nefndi við uppsetninguna. Viðbragðið er að loka öllu sem er ekki 443 eða 1194, og þannig brjóta menn eigin biðlaragátt.

Access Server er ekki einn hlustandi. Það er VPN-þjónusta, vefþjónusta og þátttakandi í klösum, og getur búið til aukagáttir sem eru daemon-sértækar og eldveggsframsendingar eftir því hversu marga TCP-daemons þú stilltir.

Farðu í gegnum listann í röð: lestu socketana, kortleggðu þá þekktu, flokkaðu afganginn eftir eiganda og bindingu, og athugaðu síðan hvað birtir þá í raun.

Byrjaðu á einni lesningaraðgerð

sudo ss -lntup gefur þér flutning, staðfangsnet, gátt og eigandaprósess fyrir hvern hlustandi socket. Fánarnir skipta máli: -l hlustun, -n tölulegt, -t TCP, -u UDP, -p ferli. Án root færðu socketana en ekki prósessnöfnin, og það er einmitt sá dálkur sem þú þarft til flokkunar.

Skráðu fjögur svæði á hverja línu áður en þú myndar þér skoðun: samskiptareglur, bindisnetfang, gátt og skipun. Hafðu Access Server-útgáfuna og fjölda stilltra daemona við hlið þessa lista, því hvort tveggja breytir því sem búist er við.

Tvær línur sem líta eins út eru það ekki. TCP og UDP á sama númeri eru aðskilin socket með aðskilinni útsetningu, og 0.0.0.0 og :: eru aðskilin bindingar fyrir aðskilin netfangafjölskyldur. Þjónusta sem er bundin eingöngu við 127.0.0.1 er ekki beint aðgengileg frá öðrum host, þótt staðbundin framsending geti enn birt hana.

Hlustendurnir sem þú ættir að þekkja

Þessi sjálfgefnu gildi ná yfir flestar uppsetningar og gefa þér grunn til samanburðar. Þau eru sjálfgefnu gildin, ekki tæmandi leyfislisti.

Allt þar fyrir utan þarf skýringu, ekki ágiskun. Þú munt oft sjá staðbundna hlustendur sem tilheyra íhlutum sem varan setur upp fyrir sig. Staðfestu þá með PID og þjónustustillingu frekar en gáttarnúmeri sem þú manst, og ekki líta á ókunnuga gátt sem óvin vegna þess eins að hún er ókunnug.

Socket utan við þekkta parið er heldur ekki sjálfkrafa afgangur. Þegar margir TCP-daemons eru stilltir býr Access Server til hlustendur fyrir hvern daemon og beinir umferð til þeirra, svo fjöldi þeirra og gáttargildi fylgja þeirri stillingu.

Flokkaðu áður en þú lokar einhverju

Fyrir hverja óvissu línu skaltu svara þremur spurningum í þessari röð.

1. Eigandi og tilgangur. Paraðu PID við einingu eða ferli og lestu stillingu þeirrar þjónustu. Ef þú getur ekki nefnt eigandann ertu ekki tilbúinn að ákveða neitt um socketið.
2. Umfang bindingar. Loopback er staðbundið fyrir nafnrýmið. Wildcard-binding er aðeins aðgengileg ef beining, hostasía og hvaða skýjastigsreglur sem er leyfa það, svo bindisnetfangið er nauðsynlegt en ekki nægilegt. Athugaðu IPv4 og IPv6 sem aðskildar ákvarðanir.
3. Birt slóð. Leitaðu að framsendingu þjónustu, daemon-sértækum framsendingum, ytri proxy og virkri eldveggsstefnu. Þetta er skrefið sem fólk sleppir, og það er það sem gerir sakleysislega útlitandi bakenda-gátt að aðgengilegri stjórnunarslóð.

Sama spurning er lesin öðruvísi utan frá hostinu. Gátt án eldveggsreglu hosts getur samt verið lokuð af öryggishópi í skýi, og gátt með leyfandi hostreglu getur verið óaðgengileg vegna þess að ekkert beinir þangað. Skoðaðu báða enda áður en þú skrifar niðurstöðu listans.

Þar sem birt slóð er frábrugðin socketlistanum

Eigin skjölun Access Server nær yfir tilvikið sem veldur mestri ruglingi: þegar nokkrir TCP-daemons keyra framsendir framgáttin í daemon-sértækar gáttir, og sýnilegt skipulag hættir að passa við socketlistann. kennsluefnið um síun vefviðmótsins lýsir þessum reglum og hvers vegna sía sem skrifuð er aðeins fyrir augljósu gáttina getur algjörlega misst af framsendu slóðinni.

Klofastýring er annar staðurinn þar sem útgáfan skiptir máli. Í 3.0 og nýrri deilir hún 943; eldri klasastillingar notuðu 945. Að opna eða loka annarri þeirra án þess að athuga útgáfuna framleiðir snyrtilegan og rangann lista.

Svo er sýnilegt yfirborð að utan samtenging þriggja hluta: hlustandi socket, framsendingarreglur sem birta þau aftur, og netstýringarnar fyrir framan hostið. Sérhver listi sem skráir aðeins það fyrsta er ófullnægjandi, og sérhver breyting sem tekur aðeins tillit til þess fyrsta mun annaðhvort skilja slóð opna eða skera þjónustu af.

Staðfestu eftir hverja breytingu

Breyttu hlustandastillingum í gegnum studda stillingareigandann og hafðu endurheimtartölvu opna á meðan. Tap á stjórnunaraðgangi að vefviðmóti á fjarlægum host er ekki hægt að endurheimta í gegnum VPNið sem þú slökktir á rétt í þessu.

Staðfestu síðan fjögur atriði sem uppsetning þarf yfirleitt: VPN-biðlari tengist, biðlaragáttin hleðst, stjórnunaraðgangur virkar, og klofasamskipti virka enn ef þú keyrir fleiri en eitt hnút. Prófun eingöngu á VPN tekst vel á meðan gáttin er brotin.

Ljúktu með því að skrifa niður leyfða slóð fyrir hverja þjónustu: hvaða socket, hvaða binding, hvaða framsendingarregla, hvaða netstýring. Það skjal er gagnleg öryggisúttak. Lágmarksfjöldi socketa er það ekki, og heldur ekki fjöldaendurstilling sem lokar hlustendum sem enginn kláraði að bera kennsl á.