Kuros portos OpenVPN Access Server patiešām klausās?
Pārskatiet Access Server resursdatora ligzdu sarakstu: atpazīstiet noklusējuma klausītājus, atšķiriet loopback no publicētajiem un pirms porta aizvēršanas pārbaudiet pāradresāciju.
Jūs palaižat ss -lntup Access Server resursdatorā un saņemat divreiz garāku sarakstu nekā gaidīts. Puse ierakstu ir dēmona formas porti, kurus uzstādīšanas laikā neviens nav pieminējis. Reflekss ir aizvērt visu, kas nav 443 vai 1194, un tā cilvēki salauž savu klientu portālu.
Access Server nav viens klausītājs. Tas ir VPN pakalpojums, tīmekļa pakalpojums un klastera dalībnieks, un tas var ģenerēt papildu dēmoniem raksturīgus portus un ugunsmūra pāradresācijas atkarībā no tā, cik TCP dēmonu esat konfigurējis.
Pārskatiet sarakstu pēc kārtas: izlasiet ligzdas, kartējiet pazīstamās, klasificējiet pārējās pēc īpašnieka un piesaistes, pēc tam pārbaudiet, kas tās patiešām publicē.
Sāciet ar vienu tikai lasīšanas komandu
sudo ss -lntup sniedz jums transportu, vietējo adresi, portu un īpašnieka procesu katrai klausošajai ligzdai. Karodziņi ir svarīgi: -l klausīšanās, -n skaitlisks, -t TCP, -u UDP, -p process. Bez root jūs saņemat ligzdas, bet ne procesu nosaukumus, un klasifikācijai ir vajadzīga tieši šī kolonna.
Pirms veidojat viedokli, katrai rindai pierakstiet četrus laukus: protokols, piesaistes adrese, ports un komanda. Turiet Access Server versiju un konfigurēto dēmonu skaitu blakus šim sarakstam, jo abi maina to, ko sagaida.
Divas vienādi izskatīgas rindas nav vienādas. TCP un UDP ar vienu un to pašu numuru ir atsevišķas ligzdas ar atsevišķu iedarbību, un 0.0.0.0 un :: ir atsevišķas piesaistes atsevišķām adrešu saimēm. Pakalpojums, kas piesaistīts tikai 127.0.0.1 , nav tieši sasniedzams no cita resursdatora, lai gan vietēja pāradresācija to joprojām var publicēt.
Klausītāji, kas jums jāatpazīst
Šīs noklusējuma vērtības aptver lielāko daļu izvietojumu un dod jums salīdzināšanas bāzi. Tie ir noklusējuma lielumi, nevis pilns atļauto saraksts.
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
Visam, kas ir aiz tā, vajadzīgs skaidrojums, nevis pieņēmums. Jūs bieži redzēsiet tikai vietējus klausītājus, kas pieder komponentiem, kurus produkts instalē sev. Apstipriniet tos ar PID un pakalpojuma konfigurāciju, nevis ar atcerētu porta numuru, un neuzskatiet nezināmu portu par naidīgu tikai tāpēc, ka tas ir nezināms.
Ligzda ārpus pazīstamā pāra arī nav automātiski atlikums. Ja ir konfigurēti vairāki TCP dēmoni, Access Server izveido klausītājus katram dēmonam un novirza uz tiem trafiku, tāpēc to skaits un portu vērtības atbilst šai konfigurācijai.
Klasificējiet pirms kaut ko aizverat
Katrai nedrošai rindai atbildiet uz trim jautājumiem šajā secībā.
- Īpašnieks un mērķis. Saskaņojiet PID ar vienību vai procesu un izlasiet šī pakalpojuma konfigurāciju. Ja nevarat nosaukt īpašnieku, neesat gatavs lemt neko par ligzdu.
- Piesaistes apjoms. Loopback ir vietējs nosaukumu telpai. Aizstājējzīmes piesaiste ir sasniedzama tikai tad, ja maršrutēšana, resursdatora filtrēšana un jebkuri mākoņa līmeņa noteikumi to atļauj, tāpēc piesaistes adrese ir nepieciešama, bet ne pietiekama. Pārbaudiet IPv4 un IPv6 kā atsevišķus lēmumus.
- Publicētais ceļš. Meklējiet pakalpojuma pāradresāciju, dēmoniem raksturīgas pāradresācijas, ārēju starpniekserveri un faktisko ugunsmūra politiku. Šis ir solis, ko cilvēki izlaiž, un tas ir tas, kas šķietami nekaitīgu aizmugures portu pārvērš sasniedzamā administratīvā ceļā.
Tas pats jautājums ārpus resursdatora tiek lasīts citādi. Portu bez resursdatora ugunsmūra noteikuma joprojām var aizvērt mākoņa drošības grupa, un ports ar atļaujošu resursdatora noteikumu var būt nesasniedzams, jo nekas uz to nemaršrutē. Apskatiet abus galus pirms saraksta secinājuma rakstīšanas.
Kur publicētais ceļš atšķiras no ligzdu saraksta
Pašas Access Server dokumentācija aptver gadījumu, kas rada vislielāko apjukumu: kad darbojas vairāki TCP dēmoni, priekšējais ports pāradresē uz dēmoniem raksturīgiem portiem, un redzamais izkārtojums pārstāj atbilst ligzdu sarakstam. tīmekļa saskarnes filtrēšanas pamācība apraksta šos noteikumus un to, kāpēc filtrs, kas rakstīts tikai acīmredzamajam portam, var pilnībā palaist garām pāradresēto ceļu.
Klastera vadība ir otrā vieta, kur versijai ir nozīme. Sākot ar 3.0, tā dala 943; vecākas klastera konfigurācijas izmantoja 945. Atvērt vai bloķēt vienu no tiem, nepārbaudot versiju, rada kārtīgu izskatu un nepareizu sarakstu.
Tātad no ārpuses redzamā virsma ir trīs lietu apvienojums: klausošās ligzdas, pāradresācijas noteikumi, kas tās publicē no jauna, un tīkla vadīklas resursdatora priekšā. Jebkurš saraksts, kurā reģistrēta tikai pirmā, ir nepilnīgs, un jebkura izmaiņa, kurā ņemta vērā tikai pirmā, vai nu atstās ceļu atvērtu, vai pārtrauks pakalpojumu.
Pārbaudiet pēc jebkuras izmaiņas
Mainiet klausītāja iestatījumus, izmantojot atbalstīto konfigurācijas īpašnieku, un šajā laikā turiet atvērtu atkopšanas konsoli. Administratīvās piekļuves zaudēšana tīmekļa saskarnei attālinātā resursdatorā nav atgūstama ar VPN, kuru tikko atspējojāt.
Pēc tam validējiet četras lietas, kas izvietojumam parasti vajadzīgas: VPN klients savienojas, klientu portāls ielādējas, administratīvā piekļuve darbojas un klastera saziņa joprojām funkcionē, ja palaižat vairāk nekā vienu mezglu. Tikai VPN tests iztur ērti, kamēr portāls ir bojāts.
Pabeidziet, pierakstot atļauto ceļu katram pakalpojumam: kura ligzda, kura piesaiste, kurš pāradresācijas noteikums, kura tīkla vadīkla. Šis dokuments ir noderīgais drošības rezultāts. Minimālais ligzdu skaits nav, un arī masveida atiestatīšana, kas aizver klausītājus, kurus neviens nepaspēja identificēt, nav.