OpenVPN Access Server шын мәнінде қай порттарда тыңдайды?
Access Server хостындағы сокет тізімін қарап шығыңыз: әдепкі тыңдаушыларды таныңыз, loopback-ты жарияланған порттардан ажыратыңыз және портты жабудың алдында қайта бағыттауды тексеріңіз.
Сіз ss -lntup Access Server хостында іске қосасыз және күткеннен екі есе ұзын тізім аласыз. Жазбалардың жартысы орнату кезінде ешкім атамаған демон пішінді порттар. Рефлекс 443 немесе 1194 емес барлығын жабу, және адамдар өз клиенттік порталын осылай бұзады.
Access Server бір тыңдаушы емес. Ол VPN қызметі, веб-қызмет және кластер қатысушысы, және конфигурацияланған TCP демондар санына байланысты қосымша демонға тән порттар мен firewall қайта бағыттауларын жасай алады.
Тізімді ретімен қарап шығыңыз: сокеттерді оқыңыз, таныстарын сәйкестендіріңіз, қалғанын иесі мен байланыстыруы бойынша жіктеңіз, содан кейін оларды шын мәнінде не жариялайтынын тексеріңіз.
Бір ғана оқуға арналған командадан бастаңыз
sudo ss -lntup әр тыңдаушы сокет үшін тасымалдау, жергілікті мекенжай, порт және ие процесті береді. Жалаушалар маңызды: -l тыңдау, -n сандық, -t TCP, -u UDP, -p процесс. root-сыз сокеттерді аласыз, бірақ процесс атауларын алмайсыз, ал жіктеу үшін дәл сол баған қажет.
Кез келген пікір қалыптастырмас бұрын әр жол үшін төрт өрісті жазып алыңыз: хаттама, байланыстыру мекенжайы, порт және команда. Access Server нұсқасы мен конфигурацияланған демон санын сол тізімнің қасында ұстаңыз, өйткені екеуі де күтілетін нәрсені өзгертеді.
Бірдей көрінетін екі жол бірдей емес. Бірдей нөмірдегі TCP мен UDP бөлек әсер етуі бар бөлек сокеттер, ал 0.0.0.0 мен :: бөлек мекенжай отбасылары үшін бөлек байланыстырулар. Тек 127.0.0.1 мекенжайына байланған қызмет басқа хосттан тікелей қолжетімді емес, бірақ жергілікті қайта бағыттау оны әлі де жариялай алады.
Сіз тануға тиіс тыңдаушылар
Бұл әдепкі мәндер көптеген орналастыруларды қамтиды және салыстыру үшін негіз береді. Бұл әдепкі мәндер, толық рұқсат тізімі емес.
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
Одан әрі кез келген нәрсе түсіндіруді қажет етеді, болжамды емес. Өнім өзі үшін орнататын компоненттерге жататын тек-жергілікті тыңдаушыларды жиі көресіз. Оларды есте қалған порт нөмірімен емес, PID және қызмет конфигурациясымен растаңыз, және бейтаныс портты тек бейтаныс болғандықтан қастық деп санамаңыз.
Таныс жұптан тыс сокет те автоматты түрде қалдық емес. Бірнеше TCP демоны конфигурацияланған кезде, Access Server әр демон үшін тыңдаушылар жасайды және трафикті соларға қайта бағыттайды, сондықтан олардың саны мен порт мәндері сол конфигурацияға сәйкес келеді.
Бірдеңені жабудың алдында жіктеңіз
Әр белгісіз жол үшін осы ретпен үш сұраққа жауап беріңіз.
- Иесі және мақсаты. PID-ді бірлік немесе процесспен сәйкестендіріңіз және сол қызметтің конфигурациясын оқыңыз. Егер иесін атай алмасаңыз, сокет туралы бірдеңе шешуге дайын емессіз.
- Байланыстыру аясы. Loopback атаулар кеңістігі үшін жергілікті. Wildcard байланыстыру тек маршруттау, хост сүзгілеу және кез келген бұлт деңгейіндегі ережелер рұқсат еткенде ғана қолжетімді, сондықтан байланыстыру мекенжайы қажет, бірақ жеткіліксіз. IPv4 және IPv6-ны бөлек шешімдер ретінде тексеріңіз.
- Жарияланған жол. Қызметті қайта бағыттауды, демонға тән қайта бағыттауларды, сыртқы проксиді және тиімді firewall саясатын іздеңіз. Бұл адамдар өткізіп жіберетін қадам, және залалсыз көрінетін backend портын қолжетімді әкімшілік жолға айналдыратын да осы қадам.
Сол сұрақ хосттың сыртынан басқаша оқылады. Хосттың firewall ережесі жоқ портты бұлттық қауіпсіздік тобы әлі де жабуы мүмкін, ал рұқсат беретін хост ережесі бар порт қолжетімсіз болуы мүмкін, өйткені оған ештеңе маршрутталмайды. Тізім қорытындысын жазбас бұрын екі шетін де қараңыз.
Жарияланған жол сокет тізімінен қай жерде ерекшеленеді
Access Server-дің өз құжаттамасы ең көп шатасуды тудыратын жағдайды қамтиды: бірнеше TCP демоны жұмыс істегенде, алдыңғы порт демонға тән порттарға қайта бағыттайды және көрінетін орналасу сокет тізіміне сәйкес келуін тоқтатады. веб-интерфейсті сүзгілеу оқулығы сол ережелерді және тек айқын порт үшін жазылған сүзгінің қайта бағытталған жолды толығымен өткізіп жіберуі мүмкін себебін сипаттайды.
Кластерді басқару нұсқа маңызды болатын екінші орын. 3.0 және одан жаңа нұсқаларда ол 943-ті бөліседі; ескірек кластер конфигурациялары 945-ді пайдаланды. Олардың бірін нұсқаны тексермей ашу немесе блоктау жинақы көрінетін, бірақ қате тізім жасайды.
Сондықтан сырттан көрінетін бет — үш нәрсенің бірігуі: тыңдаушы сокеттер, оларды қайта жариялайтын қайта бағыттау ережелері және хосттың алдындағы желілік бақылаулар. Тек біріншісін жазатын кез келген тізім толық емес, ал тек біріншісін ескеретін кез келген өзгеріс жолды ашық қалдырады немесе қызметті кесіп тастайды.
Кез келген өзгерістен кейін тексеріңіз
Тыңдаушы параметрлерін қолдау көрсетілетін конфигурация иесі арқылы өзгертіңіз және мұны істеп жатқанда қалпына келтіру консолін ашық ұстаңыз. Қашықтағы хосттағы веб-интерфейске әкімшілік қатынасты жоғалту сіз жаңа ғана өшірген VPN арқылы қалпына келмейді.
Содан кейін орналастыруға әдетте қажет төрт нәрсені растаңыз: VPN клиенті қосылады, клиенттік портал жүктеледі, әкімшілік қатынас жұмыс істейді және бірнеше түйін іске қоссаңыз, кластер байланысы әлі де жұмыс істейді. Тек-VPN сынағы портал бұзылған кезде де оңай өтеді.
Әр қызмет үшін рұқсат етілген жолды жазумен аяқтаңыз: қай сокет, қай байланыстыру, қай қайта бағыттау ережесі, қай желілік бақылау. Сол құжат пайдалы қауіпсіздік нәтижесі. Ең аз сокет саны емес, және ешкім сәйкестендіруді аяқтамаған тыңдаушыларды жабатын жаппай қайта орнату да емес.