Op wéi enge Porte lauschtert den OpenVPN Access Server tatsächlech?

Dir fuert ss -lntup op engem Access Server-Host aus a kritt eng Lëscht déi duebel esou laang ass wéi erwaart. D’Halschent vun den Anträg sinn daemonfërmeg Porten, déi kee beim Setup ernimmt huet. De Reflex ass alles zouzemaachen wat net 443 oder 1194 ass, an esou zerstéieren d’Leit hire eigenen Clientportal.

Den Access Server ass net een eenzegen Auslauschterer. Et ass e VPN-Service, e Webservice an e Cluster-Deelnehmer, an et kann zousätzlech daemonspezifesch Porten a Firewall-Weiderleedungen generéieren, jee nodeem wéi vill TCP-Daemone Dir konfiguréiert hutt.

Gitt den Inventaire an der Rei duerch: liest d’Sockelen, maacht eng Kaart vun de bekannten, klassifizéiert de Rescht no Besëtzer a Bindung, a kontrolléiert dann wat se tatsächlech publizéiert.

Fänkt mat engem eenzegen nëmme-Lies-Befehl un

sudo ss -lntup gëtt Iech Transport, lokal Adress, Port an de Besëtzerprozess fir all lauschterende Socket. D’Flich sinn wichteg: -l lauschteren, -n numeresch, -t TCP, -u UDP, -p Prozess. Ouni root kritt Dir Sockelen awer net Prozessnimm, an dat ass genee déi Kolonn déi Dir fir d’Klassifikatioun braucht.

Notéiert véier Felder pro Zeil, ier Dir eng Meenung bildt: Protokoll, Bindungsadress, Port a Befehl. Halt d’Access Server-Versioun an d’konfiguréiert Unzuel vun Daemonen niewent där Lëscht, well béides ännert wat erwaart gëtt.

Zwou Zeile déi identesch ausgesinn sinn et net. TCP an UDP op der selwechter Nummer sinn getrennt Socketen mat getrennter Expositioun, an 0.0.0.0 an :: sinn getrennt Bindungen fir getrennt Adressfamilljen. En Service deen nëmmen un 127.0.0.1 gebonnen ass, ass net direkt vun engem aneren Host erreechbar, obwuel eng lokal Weiderleedung en nach ëmmer ka publizéieren.

D’Auslauschterer déi Dir sollt erkennen

Dës Standardwäerter decken déi meescht Installatiounen an ginn Iech eng Basis fir ze vergläichen. Et sinn Standardwäerter, keng komplett Erlaabnislëscht.

Alles wat driwwer eraus geet brauch eng Erklärung, keng Uannahm. Dir wäert dacks nëmme lokal Auslauschterer gesinn déi zu Komponente gehéieren déi de Produkt fir sech selwer installéiert. Bestätegt se iwwer PID a Servicekonfiguratioun amplaz vun enger gemierkter Portnummer, a behandelt en onbekannte Port net als feindlech just well en onbekannt ass.

En Socket baussent dem bekannten Pair ass och net automatesch en Iwwerrescht. Wann méi TCP-Daemone konfiguréiert sinn, erstellt den Access Server Auslauschterer pro Daemon a leet Traffic dohin ëm, sou datt hir Unzuel a Portwäerter där Konfiguratioun follegen.

Klassifizéiert ier Dir eppes zoumaacht

Beäntwert fir all onsécher Zeil dräi Froen an dëser Rei.

1. Besëtzer an Zweck. Passt d’PID un eng Eenheet oder e Prozess un a liest d’Konfiguratioun vun deem Service. Wann Dir de Besëtzer net nenne kënnt, sidd Dir net prett iwwer de Socket ze entscheeden.
2. Bindungsumfang. Loopback ass lokal fir den Nummraum. Eng Wildcard-Bindung ass nëmmen erreechbar wann Routing, Hostfilterung an eventuell Cloud-Niveau-Regelen et erlaben, also ass d’Bindungsadress noutwendeg awer net duergaangen. Kontrolléiert IPv4 an IPv6 als getrennt Entscheedungen.
3. Publizéierte Wee. Sicht no Service-Weiderleedung, daemonspezifesche Weiderleedungen, engem externen Proxy an der effektiver Firewallpolitik. Dëst ass de Schrëtt deen d’Leit iwwersprangen, an et ass deen deen en harmlos ausgesinn Backend-Port an en erreechbare administrativen Wee verwandelt.

Déi selwecht Fro liest sech anescht vun ausserhalb vum Host. En Port ouni Host-Firewallregel ka nach ëmmer vun enger Cloud-Sécherheetsgrupp zougemaach ginn, an en Port mat enger erlaabender Hostregel ka onerreechbar sinn well näischt dohin rout. Kuckt béid Enden ier Dir d’Conclusioun vum Inventaire schreift.

Wou de publizéierte Wee vun der Socketlëscht ofwäicht

Dem Access Server seng eege Dokumentatioun deckt de Fall deen déi meescht Konfusioun verursaacht: wann méi TCP-Daemone lafen, leet de Frontport op daemonspezifesch Porten ëm, an de siichtbare Layout entsprécht net méi der Socketlëscht. Den Tutorial iwwer d’Filtere vun der Webinterface beschreift déi Regelen a firwat e Filter deen nëmme fir den offensichtleche Port geschriwwe gouf de weidergeeeten Wee komplett verfehle kann.

D’Clusterkontroll ass déi zweet Plaz wou d’Versioun zielt. Vun 3.0 un deelt se 943; méi al Clusterkonfiguratiounen hunn 945 benotzt. Een dovun opzemaachen oder ze blockéieren ouni d’Versioun ze kontrolléieren ergëtt en Inventaire deen uerdentlech ausgesäit a falsch ass.

Also ass déi vu baussen siichtbar Uewerfläch d’Vereenegung vun dräi Saachen: lauschterend Sockelen, Weiderleedungsregelen déi se nei publizéieren, an d’Netzwierkkontrolle virum Host. All Inventaire deen nëmmen dat éischt erfaasst ass onkomplett, an all Ännerung déi nëmmen dat éischt betruecht léisst entweder e Wee op oder schneid e Service of.

Verifizéiert no all Ännerung

Ännert d’Auslauschterer-Astellungen iwwer dee unterstützte Konfiguratiounsbesëtzer a halt eng Restauratiounskonsole op wärend Dir dat maacht. De Verloscht vum administrativen Zougang zu enger Webinterface op engem Fernhost ass net iwwer de VPN erëmzefannen deen Dir just deaktivéiert hutt.

Validéiert dann déi véier Saachen déi eng Installatioun normalerweis brauch: e VPN-Client verbënnt, de Clientportal lued, den administrativen Zougang funktionéiert, an d’Clusterkommunikatioun funktionéiert nach wann Dir méi wéi een Node bedreift. En Test nëmmen iwwer VPN kënnt bequem duerch wärend de Portal futti ass.

Schléisst of andeems Dir dee erlaabten Wee fir all Service opschreift: wéi e Socket, wéi eng Bindung, wéi eng Weiderleedungsregel, wéi eng Netzwierkkontroll. Dat Dokument ass dee nëtzlechen Sécherheetsoutput. Eng minimal Socketzuel ass et net, an eng Masse-Resett déi Auslauschterer zoumaacht déi nach kee fäerdeg identifizéiert huet och net.