OpenVPN Access Server үнэхээр ямар портууд дээр сонсдог вэ?
Access Server хостын сокетийн жагсаалтыг гүйлгэж үзээрэй: анхдагч сонсогчдыг таньж, loopback-ыг нийтлэгдсэн портуудаас ялгаж, порт хаахын өмнө дамжуулалтыг шалгаарай.
Та ss -lntup командыг Access Server хост дээр ажиллуулж, хүлээснээс хоёр дахин урт жагсаалт авна. Бичлэгүүдийн тал хувь нь суулгах үед хэн ч дурдаагүй демон хэлбэрийн портууд юм. Рефлекс нь 443 эсвэл 1194 биш бүгдийг хаах бөгөөд хүмүүс өөрсдийн клиент порталаа ингэж эвддэг.
Access Server нэг сонсогч биш. Энэ нь VPN үйлчилгээ, вэб үйлчилгээ, кластерийн оролцогч бөгөөд таны тохируулсан TCP демонуудын тооноос хамааран нэмэлт демонд тусгай портууд болон галт хананы дахин чиглүүлэлтүүдийг үүсгэж болно.
Жагсаалтыг дарааллаар нь гүйлгээрэй: сокетуудыг уншиж, танигдсануудыг тааруулж, үлдсэнийг эзэмшигч ба холболтоор нь ангилж, дараа нь тэдгээрийг үнэхээр юу нийтэлж байгааг шалгаарай.
Нэг л унших командаас эхэл
sudo ss -lntup сонсож буй сокет бүрт тээвэр, локал хаяг, порт болон эзэмшигч процессыг өгнө. Флагууд чухал: -l сонсох, -n тоон, -t TCP, -u UDP, -p процесс. rootгүйгээр сокетуудыг авна, гэхдээ процессын нэрийг авахгүй, ангилалд яг тэр багана хэрэгтэй.
Аливаа дүгнэлт гаргахаас өмнө мөр бүрт дөрвөн талбарыг тэмдэглэ: протокол, холболтын хаяг, порт, команд. Access Server хувилбар болон тохируулсан демоны тоог тэр жагсаалтын хажууд байлга, учир нь хоёулаа хүлээлтийг өөрчилдөг.
Ижил харагдах хоёр мөр ижил биш. Нэг дугаар дээрх TCP ба UDP нь тусдаа нөлөөлөлтэй тусдаа сокетууд бөгөөд 0.0.0.0 ба :: нь тусдаа хаягийн гэр бүлүүдэд зориулсан тусдаа холболтууд юм. Зөвхөн 127.0.0.1 хаягт холбогдсон үйлчилгээ өөр хостноос шууд хүрэхгүй, гэхдээ локал дахин чиглүүлэлт үүнийг нийтэлж чадна.
Таны таних ёстой сонсогчид
Эдгээр анхдагч утгууд нь ихэнх байршуулалтыг хамарч, харьцуулах суурь өгдөг. Эдгээр нь анхдагч утгууд бөгөөд бүрэн зөвшөөрлийн жагсаалт биш.
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
Үүнээс цааш бүх зүйл тайлбар шаарддаг, таамаглал биш. Бүтээгдэхүүн өөртөө зориулж суулгадаг компонентуудад хамаарах зөвхөн-локал сонсогчдыг байнга харах болно. Тэдгээрийг санаж үлдсэн портын дугаараар биш, PID болон үйлчилгээний тохиргоогоор баталгаажуул, мөн танихгүй портыг зөвхөн танихгүй гэсэн шалтгаанаар дайсан гэж бүү үз.
Танигдсан хосоос гадуур сокет ч автоматаар үлдэгдэл биш. Хэд хэдэн TCP демон тохируулсан үед Access Server демон бүрт сонсогчдыг үүсгэж, урсгалыг тэдэн рүү дахин чиглүүлдэг тул тэдгээрийн тоо болон портын утгууд тэр тохиргоог дагана.
Ямар нэгэн зүйлийг хаахаас өмнө ангил
Тодорхойгүй мөр бүрт энэ дарааллаар гурван асуултад хариул.
- Эзэмшигч ба зорилго. PID-г нэгж эсвэл процесстой тааруулж, тэр үйлчилгээний тохиргоог унш. Хэрэв эзэмшигчийг нэрлэж чадахгүй бол сокетийн талаар ямар нэгэн зүйл шийдэхэд бэлэн биш байна.
- Холболтын хүрээ. Loopback нь нэрийн орон зайд локал. Wildcard холболт нь маршрутлалт, хостын шүүлт, ямар ч үүлэн түвшний дүрэм зөвшөөрсөн тохиолдолд л хүрэх боломжтой тул холболтын хаяг зайлшгүй боловч хангалтгүй. IPv4 болон IPv6-г тусдаа шийдвэр гэж шалга.
- Нийтлэгдсэн зам. Үйлчилгээний дамжуулалт, демонд тусгай дахин чиглүүлэлтүүд, гадаад прокси, үр дүнтэй галт хананы бодлогыг хай. Хүмүүсийн алгасдаг алхам энэ бөгөөд хор хөнөөлгүй мэт харагдах backend портыг хүртээмжтэй захиргааны зам болгох нь ч энэ юм.
Мөн асуултыг хостын гаднаас өөрөөр уншина. Хостын галт ханын дүрэмгүй портыг үүлэн аюулгүй байдлын бүлэг хааж болно, зөвшөөрөх хостын дүрэмтэй порт нь тийшээ юу ч маршрутлагдахгүй тул хүрэхгүй байж болно. Жагсаалтын дүгнэлтийг бичихийн өмнө хоёр төгсгөлийг хар.
Нийтлэгдсэн зам сокетийн жагсаалтаас хаана ялгаатай вэ
Access Server-ийн өөрийн баримт бичиг хамгийн их төөрөгдөл үүсгэдэг тохиолдлыг хамардаг: хэд хэдэн TCP демон ажиллаж байхад урд талын порт демонд тусгай портууд руу дамжуулж, харагдах зохион байгуулалт сокетийн жагсаалттай таарахаа болино. вэб интерфэйсийн шүүлтийн заавар тэдгээр дүрмийг болон зөвхөн илэрхий портод зориулж бичсэн шүүлтүүр дахин чиглүүлсэн замыг бүрэн алгасаж болох шалтгааныг тайлбарладаг.
Кластерийн удирдлага нь хувилбар чухал байдаг хоёр дахь газар. 3.0 ба түүнээс хойш 943-ыг хуваалцдаг; хуучин кластерийн тохиргоонууд 945-ыг ашигладаг байсан. Аль нэгийг нь хувилбарыг шалгахгүйгээр нээх эсвэл блоклох нь цэгцтэй харагдах боловч буруу жагсаалт үүсгэдэг.
Тиймээс гаднаас харагдах гадаргуу нь гурван зүйлийн нэгдэл: сонсож буй сокетууд, тэдгээрийг дахин нийтэлдэг дамжуулалтын дүрмүүд, хостын өмнөх сүлжээний хяналтууд. Зөвхөн эхнийхийг бүртгэсэн аливаа жагсаалт бүрэн бус, зөвхөн эхнийхийг харгалзсан аливаа өөрчлөлт зам нээлттэй үлдээх эсвэл үйлчилгээг тасална.
Аливаа өөрчлөлтийн дараа шалга
Сонсогчийн тохиргоог дэмжигдсэн тохиргооны эзэмшигчээр сольж, үүнийг хийхдээ сэргээх консолыг нээлттэй байлга. Алсын хост дээрх вэб интерфэйсрүү захиргааны нэвтрэлтийг алдах нь та саяхан идэвхгүй болгосон VPN-ээр сэргээгдэхгүй.
Дараа нь байршуулалтад ихэвчлэн хэрэгтэй дөрвөн зүйлийг шалга: VPN клиент холбогддог, клиент портал ачаалагддаг, захиргааны нэвтрэлт ажилладаг, нэгээс олон зангилаа ажиллуулж байгаа бол кластерийн харилцаа холбоо хэвээр ажилладаг. Зөвхөн-VPN шалгалт портал эвдэрсэн үед ч тайван давдаг.
Үйлчилгээ бүрийн зөвшөөрөгдсөн замыг бичиж дуусга: аль сокет, аль холболт, аль дамжуулалтын дүрэм, аль сүлжээний хяналт. Тэр баримт бичиг нь ашигтай аюулгүй байдлын үр дүн. Хамгийн бага сокетийн тоо биш, хэн ч таних ажлыг дуусгаагүй сонсогчдыг хаадаг бөөнөрбөл шинэчлэл ч биш.