OpenVPN Access Server чындыгында кайсы порттордо угат?
Access Server хостундагы сокет тизмесин карап чыгыңыз: демейки угуучуларды тааныңыз, loopback’ти жарыяланган порттордон ажыратыңыз жана портту жабуудан мурун багыттоону текшериңиз.
Сиз ss -lntup Access Server хостунда иштетесиз жана күтүлгөндөн эки эсе узун тизме аласыз. Жазуулардын жарымы орнотуу учурунда эч ким атабаган демон формасындагы порттор. Рефлекс 443 же 1194 эмес баарын жабуу, жана адамдар өзүнүн клиенттик порталын ушундай бузушат.
Access Server бир угуучу эмес. Ал VPN кызматы, веб-кызмат жана кластер катышуучусу, жана конфигурацияланган TCP демондордун санына жараша кошумча демонго тиешелүү портторду жана firewall багыттоолорун түзө алат.
Тизмени тартип менен карап чыгыңыз: сокеттерди окуңуз, тааныштарын дал келтириңиз, калганын ээси жана байлоо боюнча классификациялаңыз, анан аларды чындыгында эмне жарыялаарын текшериңиз.
Бир гана окуу командасы менен баштаңыз
sudo ss -lntup ар бир угуп жаткан сокет үчүн транспорт, жергиликтүү дарек, порт жана ээ процессти берет. Желекчелер маанилүү: -l угуу, -n сандык, -t TCP, -u UDP, -p процесс. root жок сокеттерди аласыз, бирок процесс аттарын албайсыз, ал эми классификация үчүн дал ошол тилке керек.
Кандайдыр бир пикир түзүүдөн мурун ар бир сап үчүн төрт талааны жазып алыңыз: протокол, байлоо дареги, порт жана команда. Access Server версиясын жана конфигурацияланган демондордун санын ошол тизменин жанында кармаңыз, анткени экөө тең күтүүнү өзгөртөт.
Бирдей көрүнгөн эки сап бирдей эмес. Бирдей номердеги TCP жана UDP өзүнчө таасирге ээ өзүнчө сокеттер, ал эми 0.0.0.0 жана :: өзүнчө дарек үй-бүлөлөрү үчүн өзүнчө байлоолор. Тек 127.0.0.1 дарегине байланган кызмат башка хосттон түз жеткиликсиз, бирок жергиликтүү багыттоо аны дагы эле жарыялай алат.
Сиз таанышыңыз керек болгон угуучулар
Бул демейки маанилер көпчүлүк жайгаштырууларды камтыйт жана салыштыруу үчүн негиз берет. Бул демейки маанилер, толук уруксат тизмеси эмес.
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
Андан ары кандайдыр бир нерсе түшүндүрүүнү талап кылат, божомолду эмес. Продукт өзү үчүн орноткон компоненттерге таандык тек-жергиликтүү угуучуларды көп көрөсүз. Аларды эсте калган порт номери менен эмес, PID жана кызмат конфигурациясы менен тастыктаңыз, жана белгисиз портту белгисиз болгондугу үчүн гана душман деп эсептебеңиз.
Тааныш жуптан тышкары сокет да автоматтык түрдө калдык эмес. Бир нече TCP демон конфигурацияланганда, Access Server ар бир демон үчүн угуучуларды түзөт жана трафикти аларга багыттайт, ошондуктан алардын саны жана порт маанилери ошол конфигурацияга ылайык келет.
Бир нерсени жабуудан мурун классификациялаңыз
Ар бир белгисиз сап үчүн бул тартипте үч суроого жооп бериңиз.
- Ээси жана максаты. PIDди бирдик же процесс менен дал келтириңиз жана ошол кызматтын конфигурациясын окуңуз. Ээсин атай албасаңыз, сокет тууралуу бир нерсе чечүүгө даяр эмессиз.
- Байлоо аянты. Loopback аттар мейкиндиги үчүн жергиликтүү. Wildcard байлоо маршруттоо, хост фильтрлөө жана кандайдыр бир булут деңгээлиндеги эрежелер уруксат бергенде гана жеткиликтүү, ошондуктан байлоо дареги зарыл, бирок жетиштүү эмес. IPv4 жана IPv6ны өзүнчө чечимдер катары текшериңиз.
- Жарыяланган жол. Кызматты багыттоону, демонго тиешелүү багыттоолорду, тышкы проксини жана натыйжалуу firewall саясатын издеңиз. Бул адамдар өткөрүп жиберген кадам, жана зыянсыз көрүнгөн backend портту жеткиликтүү административдик жолго айландырган да ушул.
Ошол эле суроо хосттун сыртынан башкача окулат. Хосттун firewall эрежеси жок портту булут коопсуздук тобу дагы эле жаабы мүмкүн, ал эми уруксат берүүчү хост эрежеси бар порт жеткиликсиз болушу мүмкүн, анткени ага эч нерсе маршрутталбайт. Тизме корутундусун жазардан мурун эки четин караңыз.
Жарыяланган жол сокет тизмесинен кайсы жерде айырмаланат
Access Serverдин өз документтери эң көп баш аламандык жараткан учурду камтыйт: бир нече TCP демон иштегенде, алдыңкы порт демонго тиешелүү портторго багыттайт жана көрүнгөн жайгашуу сокет тизмесине дал келүүнү токтотот. веб-интерфейсти фильтрлөө окуу куралы ошол эрежелерди жана тек ачык порт үчүн жазылган фильтр багытталган жолду толугу менен өткөрүп жибериши мүмкүн экенин түшүндүрөт.
Кластерди башкаруу версия маанилүү болгон экинчи орун. 3.0 жана андан жаңы версияларда ал 943тү бөлүшөт; эскирек кластер конфигурациялары 945ти колдонгон. Алардын бирин версияны текшербей ачуу же блоктоо тыкан көрүнгөн, бирок туура эмес тизме жаратат.
Ошондуктан сырттан көрүнгөн бети үч нерсенин биригүүсү: угуучу сокеттер, аларды кайра жарыялаган багыттоо эрежелери жана хосттун алдындагы тармактык көзөмөлдөр. Тек биринчисин жазган ар кандай тизме толук эмес, ал эми тек биринчисин эске алган ар кандай өзгөртүү жолду ачык калтырат же кызматты кесип салат.
Ар кандай өзгөртүүдөн кийин текшериңиз
Угуучу параметрлерин колдоого алынган конфигурация ээси аркылуу өзгөртүңүз жана муну кылып жатканда калыбына келтирүү консолун ачык кармаңыз. Алыскы хосттогу веб-интерфейске административдик кирүүнү жоготуу сиз жаңы эле өчүргөн VPN аркылуу калыбына келбейт.
Анан жайгаштырууга адатта керек болгон төрт нерсени текшериңиз: VPN кардары туташат, кардар порталы жүктөлөт, административдик кирүү иштейт жана бирден ашык түйүн иштетсеңиз, кластер байланышы дагы эле иштейт. Тек-VPN сынагы портал бузулган кезде да оңой өтөт.
Ар бир кызмат үчүн уруксат берилген жолду жазуу менен аяктаңыз: кайсы сокет, кайсы байлоо, кайсы багыттоо эрежеси, кайсы тармактык көзөмөл. Ошол документ пайдалуу коопсуздук натыйжасы. Эң аз сокет саны эмес, жана эч ким идентификациялоону бүтүрбөгөн угуучуларды жапкан жаппай кайра орнотуу да эмес.