На кои порти OpenVPN Access Server навистина слуша?
Поминете низ списокот со сокети на домаќин со Access Server: препознајте ги стандардните слушатели, разликувајте loopback од објавените и проверете го проследувањето пред да затворите порта.
Извршувате ss -lntup на домаќин со Access Server и добивате список двапати подолг од очекуваното. Половина од записите се порти во форма на демон што никој не ги спомна при поставувањето. Рефлексот е да се затвори се што не е 443 или 1194, и така луѓето го кршат сопствениот клиентски портал.
Access Server не е еден слушател. Тоа е VPN услуга, веб-услуга и учесник во кластер, и може да генерира дополнителни порти специфични за демони и пренасочувања на огнениот ѕид зависно од тоа колку TCP демони сте конфигурирале.
Поминете низ пописот по ред: прочитајте ги сокетите, мапирајте ги познатите, класифицирајте ги останатите по сопственик и поврзување, потоа проверете што всушност ги објавува.
Започнете со една команда само за читање
sudo ss -lntup ви дава транспорт, локална адреса, порта и сопственички процес за секој слушачки сокет. Знаменцата се важни: -l слушање, -n нумерички, -t TCP, -u UDP, -p процес. Без root ги добивате сокетите но не и имињата на процесите, а тоа е токму колоната што ви треба за класификација.
Пред да формирате какво било мислење, запишете четири полиња по ред: протокол, адреса на поврзување, порта и команда. Држете ја верзијата на Access Server и конфигурираниот број демони покрај тој список, бидејќи двете го менуваат она што се очекува.
Два реда што изгледаат идентично не се исти. TCP и UDP на истиот број се одделни сокети со одделна изложеност, а 0.0.0.0 и :: се одделни поврзувања за одделни семејства адреси. Услуга поврзана само со 127.0.0.1 не е директно достапна од друг домаќин, иако локално пренасочување се уште може да ја објави.
Слушателите што треба да ги препознаете
Овие стандардни вредности покриваат повеќето распоредувања и ви даваат основа за споредба. Тие се стандардни, не целосен список на дозволи.
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
Сето над тоа бара објаснување, не претпоставка. Често ќе гледате само-локални слушатели што припаѓаат на компоненти што производот ги инсталира за себе. Потврдете ги преку PID и конфигурацијата на услугата наместо преку запаметен број на порта, и не третирајте непозната порта како непријателска само затоа што е непозната.
Сокет надвор од познатиот пар исто така не е автоматски остаток. Кога се конфигурирани повеќе TCP демони, Access Server создава слушатели по демон и пренасочува сообраќај кон нив, така што нивниот број и вредностите на портите ја следат таа конфигурација.
Класифицирајте пред да затворите нешто
За секој несигурен ред одговорете на три прашања по овој редослед.
- Сопственик и цел. Поврзете го PID со единица или процес и прочитајте ја конфигурацијата на таа услуга. Ако не можете да го именувате сопственикот, не сте подготвени да одлучите ништо за сокетот.
- Опсег на поврзување. Loopback е локален за именскиот простор. Поврзувањето со џокер знак е достапно само ако рутирањето, филтрирањето на домаќинот и какви било правила на облачно ниво го дозволуваат, па адресата на поврзување е потребна но не и доволна. Проверете IPv4 и IPv6 како одделни одлуки.
- Објавена патека. Барајте проследување на услугата, пренасочувања специфични за демони, надворешен прокси и ефективната политика на огнениот ѕид. Ова е чекорот што луѓето го прескокнуваат, и тој е оној што безопасно изгледачка backend порта ја претвора во достапна административна патека.
Истото прашање се чита поинаку од надвор од домаќинот. Порта без правило на огнениот ѕид на домаќинот се уште може да биде затворена од облачна безбедносна група, а порта со дозволувачко правило на домаќинот може да биде недостапна затоа што ништо не рутира кон неа. Погледнете ги двата краја пред да го напишете заклучокот на пописот.
Каде објавената патека се разликува од списокот со сокети
Сопствената документација на Access Server го покрива случајот што создава најмногу конфузија: кога работат повеќе TCP демони, предната порта проследува кон порти специфични за демони, и видливиот распоред престанува да се совпаѓа со списокот со сокети. упатството за филтрирање на веб-интерфејсот ги опишува тие правила и зошто филтер напишан само за очигледната порта може целосно да ја промаши пренасочената патека.
Контролата на кластерот е второто место каде верзијата е важна. Во 3.0 и понови таа ја дели 943; постарите конфигурации на кластерот користеа 945. Отворање или блокирање на една од нив без проверка на верзијата создава уреден на изглед и погрешен попис.
Значи надворешно видливата површина е обединување на три работи: слушачки сокети, правила за проследување што ги објавуваат повторно и мрежните контроли пред домаќинот. Секој попис што го запишува само првото е нецелосен, и секоја промена што го зема предвид само првото или ќе остави патека отворена или ќе пресече услуга.
Проверете по секоја промена
Менувајте ги поставките на слушателот преку поддржаниот сопственик на конфигурацијата и држете ја отворена конзолата за обновување додека го правите тоа. Губењето на административниот пристап до веб-интерфејс на оддалечен домаќин не се враќа преку VPN-от што штотуку го оневозможивте.
Потоа валидирајте ги четирите работи што едно распоредување обично ги бара: VPN клиент се поврзува, клиентскиот портал се вчитува, административниот пристап работи и комуникацијата на кластерот се уште функционира ако извршувате повеќе од еден јазол. Тест само на VPN поминува удобно додека порталот е расипан.
Завршете со запишување на дозволената патека за секоја услуга: кој сокет, кое поврзување, кое правило за проследување, која мрежна контрола. Тој документ е корисниот безбедносен резултат. Минималниот број сокети не е, ниту масовно ресетирање што затвора слушатели што никој не стигнал да ги идентификува.