Бұл осалдық табысы қай VPN процесіне қатысты?

Сканер нәтижесі мекенжайды, портты және сол жерде келісілген нәрсені атайды. Ол сол сокеттің артындағы процесті атамайды, ал VPN хостта бірнеше процесс машинаны бөлісе алады, бірақ олардың тек біреуі ғана туннель болып табылады. Бүйірлік утилитадан нұсқа жолын оқу немесе дискіде кітапхана файлын табу хост туралы дәлел қосады, тыңдаушы туралы емес. Табыс тек бір жұмыс істеп тұрған компонентке байланыстырылып, содан кейін ескертудің нақты көрсететін ауқымымен салыстырылғанда ғана әрекетке жарамды болады.

Реттілік маңызды: бірінші компонент, екінші ескерту, үшінші түзету.

Есеп бағдарламаны емес, портты атайды

Нақты бағаланған соңғы нүктеден бастаңыз. HTTPS әкімшілік портына қарсы тексеру веб-қызметті, оның TLS стекін және оның алдында тұрған кез келген проксиді өлшеді; ол басқа порттағы OpenVPN немесе WireGuard тыңдаушысы туралы ештеңе білмеді. Кері проксилер мен басқару агенттері мұны нашарлатады, өйткені сертификат пен баннер алдыңғы бөлікке тиесілі болуы мүмкін, ал осал кітапхана оның артында фондық процесте орналасқан.

Баратын жерді, тасымалды, портты және қызмет атауын нәтижемен бірге жазып алыңыз, ауқым табыспен бірге жүрсін.

Жұмыс істеп тұрған жинақ шын мәнінде не

Жалпы мақсаттағы хостта орнатылған пакет пен жүктелген кітапхана бөлек мәселелер. Пакет қоры түзетілген нұсқаны көрсетуі мүмкін, ал ұзақ жұмыс істеп тұрған демон ескі ортақ нысанды әлі де жадта ұстайды, және жинақталған құрылғы бейнесі өзінің кітапханаларын алып жүруі мүмкін, олар туралы ешбір пакет менеджері хабарламайды. Қызмет менеджерінен не жұмыс істеп тұрғанын сұраңыз, содан кейін процесті және оның байланыстарын тексеріңіз.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Процестер тізіміндегі басталу уақыты — адамдар өткізіп жіберетін бөлшек. Соңғы пакет жаңартуынан бұрын басталған демон әлі де жүктеу кезінде жүктеген жинақты орындайды, және бұл дәл түгендеу түзетілді деп, ал сокет керісінше айтатын жағдай.

Жинақты ескерту ауқымына сәйкестендіру

Ескертулер өнімдерді, нұсқаларды және кейде қажетті шарттарды сипаттайды, және бұл үш өріс әрдайым пакет нұсқасымен сәйкесе бермейді. OpenVPN-ның 2014 жылғы сәуірдегі Heartbleed ескертуі пайдалы тарихи мысал, өйткені ол әсер еткен Access Server шығарылымдарын әртүрлі әсерге ұшыраған веб-қызметтерден және VPN демондарынан бөледі. Сабақ — OpenSSL сөзін үлгі бойынша сәйкестендірудің орнына мәтін қай компонентті қамтитынын оқу.

Ол ескерту де ескірген. Оның түзетілген шығарылым нөмірлері қазір орнату кеңесі емес, және 2014 жылы түзетілген ақау бүгін сіз іске қосып отырған тармақтағы кейінгі мәселелер туралы ештеңе айтпайды.

Келіспеушілікті шешу, содан кейін әсерді жабу

Түгендеу мен бағалау келіспегенде, екеуі де бір соңғы нүктені және бір орындалу ортасын сипаттай ма, соны тексеріңіз: басқа мекенжай, алдыңғы прокси, екінші қызмет, портқа әлі байланған ескі процесс немесе пакет менеджері ешқашан көрмеген жинақталған кітапхана. Есепті қайта жазбас бұрын мұны шекарада шешіңіз.

Қолдау көрсетілген түзетуді қолданыңыз, әсер еткен қызметті қайта іске қосыңыз және жаңа жинақтың қазір жұмыс істеп тұрғанын растаңыз. Дискіде түзетілген файл болса да, ескі процесс әлі трафикті қызмет көрсетіп тұрса, бұл түзету емес.

Содан кейін әсер ету терезесінде компонент сақтауы мүмкін нәрсемен айналысыңыз. Патчтау және тіркелгі деректерін ауыстыру әртүрлі сұрақтарға жауап береді, және әсер еткен хосттың жанында сақталған сертификат өздігінен ағып кеткеннің тізімі емес. Оқиға иесінің кері қайтарып алу, сессияларды жою және клиенттерді жаңарту рәсімін орындаңыз және қай компонент әсер еткенін, дәлелдер неліктен қолданылғанын және оны не жапқанын жазып алыңыз. Кейінгі шолу оқитын дәл сол жазба.