Hvaða VPN-ferli varðar þessi veikleikaniðurstaða?

Niðurstaða skanna nefnir vistfang, gátt og eitthvað sem samið var um þar. Hún nefnir ekki ferlið bak við þá sökkul, og á VPN-hýsingu geta mörg ferli deilt vélinni þótt aðeins eitt þeirra sé göngin. Að lesa útgáfustreng úr hliðartóli eða finna bókasafnsskrá á diski bætir við sönnunargögnum um hýsinguna, ekki hlustandann. Niðurstaðan verður aðeins aðgerðarhæf þegar henni er tengd við eitt keyrandi íhlut og síðan samræmd við það umfang sem tilkynning segir í raun.

Röðin skiptir máli: íhlutur fyrst, tilkynning önnur, úrbót þriðja.

Skýrslan nefnir gátt, ekki forrit

Byrjaðu á endapunktinum sem var í raun metinn. Prófun gegn HTTPS-stjórnunargáttinni mældi vefþjónustuna, TLS-stakk hennar og hvaða milliþjón sem er fyrir framan hana; hún lærði ekkert um OpenVPN eða WireGuard hlustandann á annarri gátt. Andhverfir milliþjónar og stjórnunarefni gera þetta verra, því vottorðið og borðinn geta tilheyrt framhlutanum á meðan veika bókasafnið er fyrir aftan í bakgrunnsferli.

Skráðu áfangastað, flutning, gátt og þjónustuheiti með niðurstöðunni svo umfangið fylgi niðurstöðunni.

Hvað keyrandi byggingin er í raun

Á almennt notuðum hýsli eru uppsetta pakkinn og hlaðið bókasafn tvær aðskildar spurningar. Pakkagagnagrunnur getur listið lagfært útgáfu á meðan langkeyrandi dæmi heldur enn gamla deilda hlutnum í minni, og innbyggt tækjaskjal getur borið eigin bókasöfn sem enginn pakkastjóri tilkynnir. Spurðu þjónustustjórann hvað er í gangi og skoðaðu síðan ferlið og tengingar þess.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Upphafstíminn í ferlalistanum er smáatriðið sem fólk sleppir. Dæmi sem var ræst fyrir síðustu pakkauppfærslu keyrir enn bygginguna sem það hlóð við ræsingu, og það er einmitt tilfellið þar sem birgðalisti segir lagfært og sökkullinn segir annað.

Að samræma bygginguna umfangi tilkynningar

Tilkynningar lýsa vörum, útgáfum og stundum nauðsynlegum skilyrðum, og þessi þrjú svið stemma ekki alltaf við pakkaútgáfu. Heartbleed-tilkynning OpenVPN frá apríl 2014 er gagnlegt sögulegt dæmi því hún aðgreinir fyrirfarandi Access Server útgáfur frá vefþjónustunum og VPN-dæmunum, sem höfðu mismunandi áhrif. Lexían er að lesa hvaða íhlut textinn nær yfir í stað þess að samræma orðið OpenSSL eftir mynstri.

Sú tilkynning er líka gömul. Lagfærðu útgáfunúmer hennar eru ekki uppsetningarleiðbeiningar núna, og galli sem var lagfærður árið 2014 segir ekkert um síðari vandamál í greininni sem þú keyrir í dag.

Að leysa ágreining og loka síðan áhrifunum

Þegar birgðalisti og mat greinir á, athugaðu hvort bæði lýsi sama endapunkti og sama keyrsluumhverfi: öðru vistfangi, framenda-milliþjóni, annarri þjónustu, gömlu ferli sem er enn bundið við gáttina, eða innbyggðu bókasafni sem pakkastjórinn sá aldrei. Leystu það á mörkunum áður en þú endurskrifar skýrslu.

Beittu studdu leiðréttingunni, endurræstu viðkomandi þjónustu og staðfestu að nýja byggingin sé sú sem er í gangi núna. Lagfært skrá á diski meðan gamla ferlið þjónar enn umferð er ekki úrbót.

Meðhöndlaðu síðan það sem íhluturinn gæti hafa geymt á meðan áhrifaglugginn var. Lagfæring og skipti á auðkennum svara mismunandi spurningum, og vottorð sem geymt er nálægt viðkomandi hýsli er ekki sjálft listi yfir það sem lak. Fylgdu verklagi málseigandans fyrir afturköllun, fjarlægingu lota og uppfærslur biðlara, og skráðu hvaða íhlut varð fyrir áhrifum, hvers vegna sönnunin átti við og hvað lokaði því. Það er þessi skrá sem síðari endurskoðun mun lesa.