OpenVPN Access Server ನಿಜವಾಗಿ ಯಾವ ಪೋರ್ಟ್ಗಳಲ್ಲಿ ಕೇಳುತ್ತದೆ?
Access Server ಹೋಸ್ಟ್ನಲ್ಲಿ ಸಾಕೆಟ್ ಪಟ್ಟಿಯನ್ನು ನೋಡಿ: ಡೀಫಾಲ್ಟ್ ಶ್ರೋತೃಗಳನ್ನು ಗುರುತಿಸಿ, loopback ಅನ್ನು ಪ್ರಕಟಿತ ಪೋರ್ಟ್ಗಳಿಂದ ಬೇರ್ಪಡಿಸಿ ಮತ್ತು ಪೋರ್ಟ್ ಮುಚ್ಚುವ ಮೊದಲು ಫಾರ್ವರ್ಡಿಂಗ್ ಪರಿಶೀಲಿಸಿ.
ನೀವು ss -lntup ಅನ್ನು Access Server ಹೋಸ್ಟ್ನಲ್ಲಿ ಚಲಾಯಿಸುತ್ತೀರಿ ಮತ್ತು ನಿರೀಕ್ಷಿಸಿದ್ದಕ್ಕಿಂತ ಎರಡು ಪಟ್ಟು ಉದ್ದದ ಪಟ್ಟಿಯನ್ನು ಪಡೆಯುತ್ತೀರಿ. ಅರ್ಧದಷ್ಟು ನಮೂದುಗಳು ಸೆಟಪ್ ಸಮಯದಲ್ಲಿ ಯಾರೂ ಉಲ್ಲೇಖಿಸದ ಡೀಮನ್-ಆಕಾರದ ಪೋರ್ಟ್ಗಳು. ಪ್ರತಿಕ್ರಿಯೆ ಎಂದರೆ 443 ಅಥವಾ 1194 ಅಲ್ಲದ ಎಲ್ಲವನ್ನೂ ಮುಚ್ಚುವುದು, ಮತ್ತು ಹೀಗೆಯೇ ಜನರು ತಮ್ಮದೇ ಕ್ಲೈಂಟ್ ಪೋರ್ಟಲ್ ಅನ್ನು ಒಡೆಯುತ್ತಾರೆ.
Access Server ಒಂದೇ ಶ್ರೋತೃವಲ್ಲ. ಇದು VPN ಸೇವೆ, ವೆಬ್ ಸೇವೆ ಮತ್ತು ಕ್ಲಸ್ಟರ್ ಭಾಗವಹಿಸುವವರು, ಮತ್ತು ನೀವು ಎಷ್ಟು TCP ಡೀಮನ್ಗಳನ್ನು ಸಂರಚಿಸಿದ್ದೀರಿ ಎಂಬುದನ್ನು ಅವಲಂಬಿಸಿ ಹೆಚ್ಚುವರಿ ಡೀಮನ್-ನಿರ್ದಿಷ್ಟ ಪೋರ್ಟ್ಗಳು ಮತ್ತು ಫೈರ್ವಾಲ್ ಮರುನಿರ್ದೇಶನಗಳನ್ನು ರಚಿಸಬಹುದು.
ಪಟ್ಟಿಯನ್ನು ಕ್ರಮವಾಗಿ ನೋಡಿ: ಸಾಕೆಟ್ಗಳನ್ನು ಓದಿ, ಪರಿಚಿತವಾದವುಗಳನ್ನು ನಕ್ಷೆ ಮಾಡಿ, ಉಳಿದವನ್ನು ಮಾಲೀಕ ಮತ್ತು ಬೈಂಡ್ ಪ್ರಕಾರ ವರ್ಗೀಕರಿಸಿ, ನಂತರ ಅವುಗಳನ್ನು ನಿಜವಾಗಿ ಯಾವುದು ಪ್ರಕಟಿಸುತ್ತದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ.
ಒಂದೇ ಓದು-ಮಾತ್ರ ಆದೇಶದಿಂದ ಪ್ರಾರಂಭಿಸಿ
sudo ss -lntup ಪ್ರತಿ ಕೇಳುತ್ತಿರುವ ಸಾಕೆಟ್ಗೆ ಸಾರಿಗೆ, ಸ್ಥಳೀಯ ವಿಳಾಸ, ಪೋರ್ಟ್ ಮತ್ತು ಮಾಲೀಕ ಪ್ರಕ್ರಿಯೆಯನ್ನು ನೀಡುತ್ತದೆ. ಫ್ಲ್ಯಾಗ್ಗಳು ಮುಖ್ಯ: -l ಕೇಳುವುದು, -n ಸಂಖ್ಯಾತ್ಮಕ, -t TCP, -u UDP, -p ಪ್ರಕ್ರಿಯೆ. root ಇಲ್ಲದೆ ನಿಮಗೆ ಸಾಕೆಟ್ಗಳು ಸಿಗುತ್ತವೆ ಆದರೆ ಪ್ರಕ್ರಿಯೆ ಹೆಸರುಗಳು ಸಿಗುವುದಿಲ್ಲ, ಮತ್ತು ವರ್ಗೀಕರಣಕ್ಕೆ ನಿಖರವಾಗಿ ಆ ಕಾಲಂ ಬೇಕು.
ಯಾವುದೇ ಅಭಿಪ್ರಾಯ ರೂಪಿಸುವ ಮೊದಲು ಪ್ರತಿ ಸಾಲಿಗೆ ನಾಲ್ಕು ಕ್ಷೇತ್ರಗಳನ್ನು ದಾಖಲಿಸಿ: ಪ್ರೋಟೋಕಾಲ್, ಬೈಂಡ್ ವಿಳಾಸ, ಪೋರ್ಟ್ ಮತ್ತು ಆದೇಶ. Access Server ಆವೃತ್ತಿ ಮತ್ತು ಸಂರಚಿಸಿದ ಡೀಮನ್ ಸಂಖ್ಯೆಯನ್ನು ಆ ಪಟ್ಟಿಯ ಪಕ್ಕದಲ್ಲಿ ಇರಿಸಿ, ಏಕೆಂದರೆ ಎರಡೂ ನಿರೀಕ್ಷೆಯನ್ನು ಬದಲಿಸುತ್ತವೆ.
ಒಂದೇ ರೀತಿ ಕಾಣುವ ಎರಡು ಸಾಲುಗಳು ಒಂದೇ ಅಲ್ಲ. ಒಂದೇ ಸಂಖ್ಯೆಯಲ್ಲಿ TCP ಮತ್ತು UDP ಬೇರೆ ಬೇರೆ ಒಡ್ಡಿಕೆಯಿರುವ ಬೇರೆ ಬೇರೆ ಸಾಕೆಟ್ಗಳು, ಮತ್ತು 0.0.0.0 ಮತ್ತು :: ಬೇರೆ ಬೇರೆ ವಿಳಾಸ ಕುಟುಂಬಗಳಿಗೆ ಬೇರೆ ಬೇರೆ ಬೈಂಡ್ಗಳು. ಕೇವಲ 127.0.0.1 ಗೆ ಬದ್ಧವಾದ ಸೇವೆ ಇನ್ನೊಂದು ಹೋಸ್ಟ್ನಿಂದ ನೇರವಾಗಿ ತಲುಪಲಾಗುವುದಿಲ್ಲ, ಆದರೂ ಸ್ಥಳೀಯ ಮರುನಿರ್ದೇಶನವು ಅದನ್ನು ಇನ್ನೂ ಪ್ರಕಟಿಸಬಹುದು.
ನೀವು ಗುರುತಿಸಬೇಕಾದ ಶ್ರೋತೃಗಳು
ಈ ಡೀಫಾಲ್ಟ್ಗಳು ಹೆಚ್ಚಿನ ನಿಯೋಜನೆಗಳನ್ನು ಆವರಿಸುತ್ತವೆ ಮತ್ತು ಹೋಲಿಸಲು ಆಧಾರವನ್ನು ನೀಡುತ್ತವೆ. ಇವು ಡೀಫಾಲ್ಟ್ಗಳು, ಸಂಪೂರ್ಣ ಅನುಮತಿ ಪಟ್ಟಿ ಅಲ್ಲ.
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
ಇದಕ್ಕಿಂತ ಹೆಚ್ಚಿನ ಎಲ್ಲದಕ್ಕೂ ವಿವರಣೆ ಬೇಕು, ಊಹೆ ಅಲ್ಲ. ಉತ್ಪನ್ನವು ತನಗಾಗಿ ಸ್ಥಾಪಿಸುವ ಘಟಕಗಳಿಗೆ ಸೇರಿದ ಸ್ಥಳೀಯ-ಮಾತ್ರ ಶ್ರೋತೃಗಳನ್ನು ನೀವು ಆಗಾಗ್ಗೆ ನೋಡುತ್ತೀರಿ. ಅವುಗಳನ್ನು ನೆನಪಿಟ್ಟ ಪೋರ್ಟ್ ಸಂಖ್ಯೆಯ ಬದಲು PID ಮತ್ತು ಸೇವಾ ಸಂರಚನೆಯಿಂದ ದೃಢೀಕರಿಸಿ, ಮತ್ತು ಅಪರಿಚಿತ ಪೋರ್ಟ್ ಅನ್ನು ಕೇವಲ ಅಪರಿಚಿತವಾಗಿರುವ ಕಾರಣಕ್ಕೆ ಶತ್ರು ಎಂದು ಪರಿಗಣಿಸಬೇಡಿ.
ಪರಿಚಿತ ಜೋಡಿಯ ಹೊರಗಿನ ಸಾಕೆಟ್ ಸಹ ತಾನಾಗಿಯೇ ಉಳಿಕೆ ಅಲ್ಲ. ಹಲವು TCP ಡೀಮನ್ಗಳನ್ನು ಸಂರಚಿಸಿದಾಗ, Access Server ಪ್ರತಿ ಡೀಮನ್ಗೆ ಶ್ರೋತೃಗಳನ್ನು ರಚಿಸಿ ಸಂಚಾರವನ್ನು ಅವುಗಳಿಗೆ ಮರುನಿರ್ದೇಶಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಅವುಗಳ ಸಂಖ್ಯೆ ಮತ್ತು ಪೋರ್ಟ್ ಮೌಲ್ಯಗಳು ಆ ಸಂರಚನೆಯನ್ನು ಅನುಸರಿಸುತ್ತವೆ.
ಏನನ್ನಾದರೂ ಮುಚ್ಚುವ ಮೊದಲು ವರ್ಗೀಕರಿಸಿ
ಪ್ರತಿ ಅನಿಶ್ಚಿತ ಸಾಲಿಗೆ ಈ ಕ್ರಮದಲ್ಲಿ ಮೂರು ಪ್ರಶ್ನೆಗಳಿಗೆ ಉತ್ತರಿಸಿ.
- ಮಾಲೀಕ ಮತ್ತು ಉದ್ದೇಶ. PID ಅನ್ನು ಘಟಕ ಅಥವಾ ಪ್ರಕ್ರಿಯೆಗೆ ಹೊಂದಿಸಿ ಆ ಸೇವೆಯ ಸಂರಚನೆಯನ್ನು ಓದಿ. ಮಾಲೀಕರನ್ನು ಹೆಸರಿಸಲು ಸಾಧ್ಯವಾಗದಿದ್ದರೆ, ಸಾಕೆಟ್ ಬಗ್ಗೆ ಏನನ್ನೂ ನಿರ್ಧರಿಸಲು ನೀವು ಸಿದ್ಧರಿಲ್ಲ.
- ಬೈಂಡ್ ವ್ಯಾಪ್ತಿ. Loopback ಎಂಬುದು ಹೆಸರಿನ ಜಾಗಕ್ಕೆ ಸ್ಥಳೀಯ. ವೈಲ್ಡ್ಕಾರ್ಡ್ ಬೈಂಡ್ ರೂಟಿಂಗ್, ಹೋಸ್ಟ್ ಫಿಲ್ಟರಿಂಗ್ ಮತ್ತು ಯಾವುದೇ ಕ್ಲೌಡ್-ಮಟ್ಟದ ನಿಯಮಗಳು ಅನುಮತಿಸಿದರೆ ಮಾತ್ರ ತಲುಪಬಹುದು, ಆದ್ದರಿಂದ ಬೈಂಡ್ ವಿಳಾಸ ಅಗತ್ಯ ಆದರೆ ಸಾಕಾಗುವುದಿಲ್ಲ. IPv4 ಮತ್ತು IPv6 ಅನ್ನು ಪ್ರತ್ಯೇಕ ನಿರ್ಧಾರಗಳಾಗಿ ಪರಿಶೀಲಿಸಿ.
- ಪ್ರಕಟಿತ ಮಾರ್ಗ. ಸೇವಾ ಫಾರ್ವರ್ಡಿಂಗ್, ಡೀಮನ್-ನಿರ್ದಿಷ್ಟ ಮರುನಿರ್ದೇಶನಗಳು, ಬಾಹ್ಯ ಪ್ರಾಕ್ಸಿ ಮತ್ತು ಪರಿಣಾಮಕಾರಿ ಫೈರ್ವಾಲ್ ನೀತಿಯನ್ನು ಹುಡುಕಿ. ಇದು ಜನರು ಬಿಟ್ಟುಬಿಡುವ ಹಂತ, ಮತ್ತು ನಿರುಪದ್ರವವೆಂದು ಕಾಣುವ ಬ್ಯಾಕೆಂಡ್ ಪೋರ್ಟ್ ಅನ್ನು ತಲುಪಬಹುದಾದ ಆಡಳಿತ ಮಾರ್ಗವಾಗಿ ಬದಲಿಸುವುದು ಇದೇ.
ಅದೇ ಪ್ರಶ್ನೆಯನ್ನು ಹೋಸ್ಟ್ನ ಹೊರಗಿನಿಂದ ಬೇರೆ ರೀತಿ ಓದಲಾಗುತ್ತದೆ. ಹೋಸ್ಟ್ ಫೈರ್ವಾಲ್ ನಿಯಮವಿಲ್ಲದ ಪೋರ್ಟ್ ಅನ್ನು ಕ್ಲೌಡ್ ಭದ್ರತಾ ಗುಂಪು ಇನ್ನೂ ಮುಚ್ಚಬಹುದು, ಮತ್ತು ಅನುಮತಿಸುವ ಹೋಸ್ಟ್ ನಿಯಮವಿರುವ ಪೋರ್ಟ್ ತಲುಪಲಾಗದಿರಬಹುದು ಏಕೆಂದರೆ ಅಲ್ಲಿಗೆ ಯಾವುದೂ ರೂಟ್ ಆಗುವುದಿಲ್ಲ. ಪಟ್ಟಿಯ ತೀರ್ಮಾನ ಬರೆಯುವ ಮೊದಲು ಎರಡೂ ತುದಿಗಳನ್ನು ನೋಡಿ.
ಪ್ರಕಟಿತ ಮಾರ್ಗ ಸಾಕೆಟ್ ಪಟ್ಟಿಯಿಂದ ಭಿನ್ನವಾಗಿರುವ ಸ್ಥಳ
Access Server ನ ಸ್ವಂತ ದಸ್ತಾವೇಜು ಅತ್ಯಂತ ಗೊಂದಲ ಉಂಟುಮಾಡುವ ಪ್ರಕರಣವನ್ನು ಒಳಗೊಳ್ಳುತ್ತದೆ: ಹಲವು TCP ಡೀಮನ್ಗಳು ಚಾಲನೆಯಲ್ಲಿದ್ದಾಗ, ಮುಂಭಾಗದ ಪೋರ್ಟ್ ಡೀಮನ್-ನಿರ್ದಿಷ್ಟ ಪೋರ್ಟ್ಗಳಿಗೆ ಫಾರ್ವರ್ಡ್ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಗೋಚರ ಜೋಡಣೆ ಸಾಕೆಟ್ ಪಟ್ಟಿಗೆ ಹೊಂದಿಕೆಯಾಗುವುದನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ. ವೆಬ್ ಇಂಟರ್ಫೇಸ್ ಫಿಲ್ಟರಿಂಗ್ ಟ್ಯುಟೋರಿಯಲ್ ಆ ನಿಯಮಗಳನ್ನು ಮತ್ತು ಸ್ಪಷ್ಟ ಪೋರ್ಟ್ಗೆ ಮಾತ್ರ ಬರೆದ ಫಿಲ್ಟರ್ ಮರುನಿರ್ದೇಶಿತ ಮಾರ್ಗವನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ತಪ್ಪಿಸಿಕೊಳ್ಳಬಹುದಾದ ಕಾರಣವನ್ನು ವಿವರಿಸುತ್ತದೆ.
ಕ್ಲಸ್ಟರ್ ನಿಯಂತ್ರಣವು ಆವೃತ್ತಿ ಮುಖ್ಯವಾಗುವ ಎರಡನೇ ಸ್ಥಳ. 3.0 ಮತ್ತು ನಂತರದ ಆವೃತ್ತಿಗಳಲ್ಲಿ ಅದು 943 ಅನ್ನು ಹಂಚಿಕೊಳ್ಳುತ್ತದೆ; ಹಳೆಯ ಕ್ಲಸ್ಟರ್ ಸಂರಚನೆಗಳು 945 ಬಳಸುತ್ತಿದ್ದವು. ಆವೃತ್ತಿಯನ್ನು ಪರಿಶೀಲಿಸದೆ ಅವುಗಳಲ್ಲಿ ಒಂದನ್ನು ತೆರೆಯುವುದು ಅಥವಾ ನಿರ್ಬಂಧಿಸುವುದು ಅಚ್ಚುಕಟ್ಟಾಗಿ ಕಾಣುವ ಆದರೆ ತಪ್ಪಾದ ಪಟ್ಟಿಯನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ.
ಆದ್ದರಿಂದ ಹೊರಗಿನಿಂದ ಗೋಚರವಾಗುವ ಮೇಲ್ಮೈ ಮೂರು ವಸ್ತುಗಳ ಒಕ್ಕೂಟ: ಕೇಳುತ್ತಿರುವ ಸಾಕೆಟ್ಗಳು, ಅವುಗಳನ್ನು ಮರುಪ್ರಕಟಿಸುವ ಫಾರ್ವರ್ಡಿಂಗ್ ನಿಯಮಗಳು ಮತ್ತು ಹೋಸ್ಟ್ನ ಮುಂದೆ ಇರುವ ನೆಟ್ವರ್ಕ್ ನಿಯಂತ್ರಣಗಳು. ಮೊದಲನೆಯದನ್ನು ಮಾತ್ರ ದಾಖಲಿಸುವ ಯಾವುದೇ ಪಟ್ಟಿ ಅಪೂರ್ಣ, ಮತ್ತು ಮೊದಲನೆಯದನ್ನು ಮಾತ್ರ ಪರಿಗಣಿಸುವ ಯಾವುದೇ ಬದಲಾವಣೆ ಮಾರ್ಗವನ್ನು ತೆರೆದಿಡುತ್ತದೆ ಅಥವಾ ಸೇವೆಯನ್ನು ಕಡಿತಗೊಳಿಸುತ್ತದೆ.
ಯಾವುದೇ ಬದಲಾವಣೆಯ ನಂತರ ಪರಿಶೀಲಿಸಿ
ಬೆಂಬಲಿತ ಸಂರಚನಾ ಮಾಲೀಕರ ಮೂಲಕ ಶ್ರೋತೃ ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ಬದಲಿಸಿ ಮತ್ತು ಅದನ್ನು ಮಾಡುವಾಗ ಚೇತರಿಕೆ ಕನ್ಸೋಲ್ ತೆರೆದಿಡಿ. ದೂರದ ಹೋಸ್ಟ್ನಲ್ಲಿ ವೆಬ್ ಇಂಟರ್ಫೇಸ್ಗೆ ಆಡಳಿತ ಪ್ರವೇಶವನ್ನು ಕಳೆದುಕೊಳ್ಳುವುದು ನೀವು ಈಗಷ್ಟೇ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿದ VPN ಮೂಲಕ ಮರುಪಡೆಯಲಾಗದು.
ನಂತರ ನಿಯೋಜನೆಗೆ ಸಾಮಾನ್ಯವಾಗಿ ಬೇಕಾದ ನಾಲ್ಕು ವಿಷಯಗಳನ್ನು ಪರಿಶೀಲಿಸಿ: VPN ಕ್ಲೈಂಟ್ ಸಂಪರ್ಕಗೊಳ್ಳುತ್ತದೆ, ಕ್ಲೈಂಟ್ ಪೋರ್ಟಲ್ ಲೋಡ್ ಆಗುತ್ತದೆ, ಆಡಳಿತ ಪ್ರವೇಶ ಕೆಲಸ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಒಂದಕ್ಕಿಂತ ಹೆಚ್ಚು ನೋಡ್ ಚಲಾಯಿಸಿದರೆ ಕ್ಲಸ್ಟರ್ ಸಂವಹನ ಇನ್ನೂ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ. ಕೇವಲ-VPN ಪರೀಕ್ಷೆ ಪೋರ್ಟಲ್ ಮುರಿದಿದ್ದಾಗಲೂ ಆರಾಮವಾಗಿ ಉತ್ತೀರ್ಣವಾಗುತ್ತದೆ.
ಪ್ರತಿ ಸೇವೆಗೆ ಅನುಮತಿಸಿದ ಮಾರ್ಗವನ್ನು ಬರೆದು ಮುಗಿಸಿ: ಯಾವ ಸಾಕೆಟ್, ಯಾವ ಬೈಂಡ್, ಯಾವ ಫಾರ್ವರ್ಡಿಂಗ್ ನಿಯಮ, ಯಾವ ನೆಟ್ವರ್ಕ್ ನಿಯಂತ್ರಣ. ಆ ದಾಖಲೆಯೇ ಉಪಯುಕ್ತ ಭದ್ರತಾ ಔಟ್ಪುಟ್. ಕನಿಷ್ಠ ಸಾಕೆಟ್ ಎಣಿಕೆ ಅಲ್ಲ, ಮತ್ತು ಯಾರೂ ಗುರುತಿಸುವಿಕೆಯನ್ನು ಮುಗಿಸದ ಶ್ರೋತೃಗಳನ್ನು ಮುಚ್ಚುವ ಸಾಮೂಹಿಕ ಮರುಹೊಂದಿಕೆಯೂ ಅಲ್ಲ.