Бул алсыздык табылганы кайсы VPN процессине тиешелүү?

Сканердин жыйынтыгы даректи, портту жана ал жерде сүйлөшүлгөн нерсени атайт. Ал ошол сокеттин артындагы процессти атабайт, ал эми VPN хостунда бир нече процесс машинаны бөлүшө алат, бирок алардын бирөө гана туннель болуп саналат. Каптал утилитадан версия сабын окуу же дискте китепкана файлын табуу хост жөнүндө далил кошот, угуучу жөнүндө эмес. Табылга бир иштеп жаткан компонентке байланып, андан кийин эскертүүнүн иш жүзүндө көрсөткөн чөйрөсү менен салыштырылганда гана аракетке жарактуу болот.

Тартип маанилүү: биринчи компонент, экинчи эскертүү, үчүнчү оңдоо.

Отчёт программаны эмес, портту атайт

Иш жүзүндө бааланган акыркы чекиттен баштаңыз. HTTPS административдик портуна каршы текшерүү веб-кызматты, анын TLS стегин жана анын алдында турган ар кандай проксини өлчөдү; ал башка порттогу OpenVPN же WireGuard угуучусу жөнүндө эч нерсе билген жок. Кайтарым проксилер жана башкаруу агенттери муну начарлатат, анткени сертификат жана баннер алдыңкы бөлүккө таандык болушу мүмкүн, ал эми алсыз китепкана анын артында фондук процессте турат.

Бара турган жерди, ташууну, портту жана кызматтын атын жыйынтык менен бирге жазыңыз, чөйрө табылга менен бирге жүрсүн.

Иштеп жаткан курулуш чындыгында эмне

Жалпы максаттагы хостто орнотулган пакет жана жүктөлгөн китепкана өзүнчө маселелер. Пакет базасы оңдолгон версияны көрсөтүшү мүмкүн, ал эми узак иштеген демон эски жалпы объектини дагы эле эстутумда кармап турат, жана курулган түзмөк образы өзүнүн китепканаларын алып жүрүшү мүмкүн, алар жөнүндө эч бир пакет менеджери билдирбейт. Кызмат менеджеринен эмне иштеп жатканын сураңыз, андан кийин процессти жана анын байланыштарын текшериңиз.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Процесстер тизмесиндеги башталуу убактысы — адамдар өткөрүп жиберген деталь. Акыркы пакет жаңыртуусунан мурун башталган демон дагы эле жүктөө учурунда жүктөгөн курулушту аткарат, жана бул так эсеп каттоо оңдолду деп, ал эми сокет тескерисинче айткан учур.

Курулушту эскертүүнүн чөйрөсүнө ылайыктоо

Эскертүүлөр продукцияларды, версияларды жана кээде талап кылынган шарттарды сүрөттөйт, жана бул үч талаа ар дайым пакет версиясына туура келе бербейт. OpenVPNдин 2014-жылдын апрелиндеги Heartbleed эскертүүсү пайдалуу тарыхый мисал, анткени ал таасир эткен Access Server чыгарылыштарын ар кандай таасирге дуушар болгон веб-кызматтардан жана VPN демондорунан бөлөт. Сабак — OpenSSL сөзүн үлгү боюнча салыштыруунун ордуна текст кайсы компонентти камтыйт, ошону окуу.

Ал эскертүү да эскирген. Анын оңдолгон чыгарылыш номерлери азыр орнотуу кеңеши эмес, жана 2014-жылы оңдолгон кемчилик бүгүн сиз иштетип жаткан бутактагы кийинки маселелер жөнүндө эч нерсе айтпайды.

Келишпестикти чечүү, андан кийин таасирди жабуу

Эсеп каттоо жана баалоо келишпегенде, экөө тең бир акыркы чекитти жана бир аткаруу чөйрөсүн сүрөттөйбү, текшериңиз: башка дарек, алдыңкы прокси, экинчи кызмат, портко дагы эле байланган эски процесс же пакет менеджери эч качан көрбөгөн курулган китепкана. Отчётту кайра жазбастан мурун муну чек арада чечиңиз.

Колдоого алынган оңдоону колдонуңуз, таасир эткен кызматты кайра иштетиңиз жана жаңы курулуш азыр иштеп жатканын ырастаңыз. Дискте оңдолгон файл болсо да, эски процесс дагы эле трафикти тейлеп турса, бул оңдоо эмес.

Андан кийин таасир терезесинде компонент сакташы мүмкүн болгон нерселер менен алектениңиз. Патчтоо жана эсептик маалыматтарды алмаштыруу ар кандай суроолорго жооп берет, жана таасир эткен хосттун жанында сакталган сертификат өзүнчө агылган нерселердин тизмеси эмес. Окуя ээсинин жокко чыгаруу, сессияларды алып салуу жана кардарларды жаңыртуу боюнча жол-жобосун аткарыңыз жана кайсы компонент таасир эткенин, далилдер эмне үчүн тиешелүү болгонун жана аны эмне жапканын жазып алыңыз. Кийинки кароо окуй турган дал ошол жазуу.