Port manakah yang sebenarnya didengar oleh OpenVPN Access Server?

Anda menjalankan ss -lntup pada hos Access Server dan mendapat senarai dua kali lebih panjang daripada jangkaan. Separuh entri ialah port berbentuk daemon yang tiada siapa sebut semasa pemasangan. Refleksnya ialah menutup semua yang bukan 443 atau 1194, dan begitu juga orang merosakkan portal pelanggan mereka sendiri.

Access Server bukan satu pendengar. Ia ialah perkhidmatan VPN, perkhidmatan web dan peserta kluster, dan ia boleh menjana port tambahan khusus daemon serta ubah hala firewall bergantung pada berapa banyak daemon TCP yang anda konfigurasikan.

Telusuri inventori mengikut urutan: baca soket, petakan yang biasa, klasifikasikan selebihnya mengikut pemilik dan pengikatan, kemudian semak apa yang sebenarnya menerbitkannya.

Mulakan dengan satu arahan baca sahaja

sudo ss -lntup memberi anda pengangkutan, alamat tempatan, port dan proses pemilik bagi setiap soket yang mendengar. Bendera itu penting: -l mendengar, -n berangka, -t TCP, -u UDP, -p proses. Tanpa root anda mendapat soket tetapi bukan nama proses, dan itulah tepat lajur yang anda perlukan untuk klasifikasi.

Catat empat medan setiap baris sebelum membentuk sebarang pendapat: protokol, alamat pengikatan, port dan arahan. Simpan versi Access Server dan bilangan daemon yang dikonfigurasikan di sebelah senarai itu, kerana kedua-duanya mengubah apa yang dijangkakan.

Dua baris yang kelihatan serupa bukanlah sama. TCP dan UDP pada nombor yang sama ialah soket berasingan dengan pendedahan berasingan, dan 0.0.0.0 dan :: ialah pengikatan berasingan untuk keluarga alamat berasingan. Perkhidmatan yang terikat hanya pada 127.0.0.1 tidak boleh dicapai secara terus dari hos lain, walaupun ubah hala tempatan masih boleh menerbitkannya.

Pendengar yang patut anda kenali

Nilai lalai ini meliputi kebanyakan penggunaan dan memberi anda garis dasar untuk perbandingan. Ini ialah nilai lalai, bukan senarai kebenaran yang lengkap.

Segala-galanya di luar itu memerlukan penjelasan, bukan andaian. Anda akan sering melihat pendengar tempatan sahaja milik komponen yang dipasang oleh produk untuk dirinya sendiri. Sahkan melalui PID dan konfigurasi perkhidmatan dan bukannya nombor port yang diingati, dan jangan anggap port yang tidak dikenali sebagai bermusuhan semata-mata kerana ia tidak dikenali.

Soket di luar pasangan yang dikenali juga tidak semestinya sisa. Apabila beberapa daemon TCP dikonfigurasikan, Access Server mencipta pendengar bagi setiap daemon dan mengubah hala trafik kepadanya, jadi bilangan dan nilai port mereka mengikut konfigurasi itu.

Klasifikasikan sebelum menutup apa-apa

Bagi setiap baris yang tidak pasti, jawab tiga soalan mengikut urutan ini.

1. Pemilik dan tujuan. Padankan PID dengan unit atau proses dan baca konfigurasi perkhidmatan itu. Jika anda tidak dapat menamakan pemiliknya, anda belum bersedia untuk memutuskan apa-apa tentang soket itu.
2. Skop pengikatan. Loopback adalah setempat kepada ruang nama. Pengikatan wildcard hanya boleh dicapai jika penghalaan, penapisan hos dan sebarang peraturan peringkat awan membenarkannya, jadi alamat pengikatan perlu tetapi tidak mencukupi. Semak IPv4 dan IPv6 sebagai keputusan berasingan.
3. Laluan yang diterbitkan. Cari pemajuan perkhidmatan, ubah hala khusus daemon, proksi luaran dan dasar firewall yang berkesan. Inilah langkah yang orang terlepas, dan inilah yang mengubah port backend yang kelihatan tidak berbahaya menjadi laluan pentadbiran yang boleh dicapai.

Soalan yang sama dibaca secara berbeza dari luar hos. Port tanpa peraturan firewall hos masih boleh ditutup oleh kumpulan keselamatan awan, dan port dengan peraturan hos yang permisif mungkin tidak dapat dicapai kerana tiada apa yang menghala ke sana. Lihat kedua-dua hujung sebelum menulis kesimpulan inventori.

Di mana laluan yang diterbitkan berbeza daripada senarai soket

Dokumentasi Access Server sendiri meliputi kes yang paling banyak menimbulkan kekeliruan: apabila beberapa daemon TCP berjalan, port hadapan memajukan ke port khusus daemon, dan susunan yang kelihatan tidak lagi sepadan dengan senarai soket. tutorial penapisan antara muka web menerangkan peraturan itu dan mengapa penapis yang ditulis hanya untuk port yang jelas boleh terlepas laluan yang diubah hala sepenuhnya.

Kawalan kluster ialah tempat kedua di mana versi penting. Pada 3.0 dan lebih baru ia berkongsi 943; konfigurasi kluster yang lebih lama menggunakan 945. Membuka atau menyekat salah satunya tanpa menyemak versi menghasilkan inventori yang kelihatan kemas dan salah.

Jadi permukaan yang kelihatan dari luar ialah gabungan tiga perkara: soket yang mendengar, peraturan pemajuan yang menerbitkannya semula dan kawalan rangkaian di hadapan hos. Mana-mana inventori yang hanya merekodkan yang pertama adalah tidak lengkap, dan mana-mana perubahan yang hanya mempertimbangkan yang pertama akan sama ada membiarkan laluan terbuka atau memotong perkhidmatan.

Sahkan selepas sebarang perubahan

Ubah tetapan pendengar melalui pemilik konfigurasi yang disokong dan biarkan konsol pemulihan terbuka semasa anda melakukannya. Kehilangan akses pentadbiran ke antara muka web pada hos jauh tidak boleh dipulihkan melalui VPN yang baru anda lumpuhkan.

Kemudian sahkan empat perkara yang biasanya diperlukan oleh penggunaan: klien VPN bersambung, portal pelanggan dimuatkan, akses pentadbiran berfungsi, dan komunikasi kluster masih berfungsi jika anda menjalankan lebih daripada satu nod. Ujian hanya-VPN lulus dengan selesa semasa portal rosak.

Akhiri dengan menulis laluan yang dibenarkan bagi setiap perkhidmatan: soket mana, pengikatan mana, peraturan pemajuan mana, kawalan rangkaian mana. Dokumen itulah hasil keselamatan yang berguna. Bilangan soket minimum bukan, dan bukan juga set semula besar-besaran yang menutup pendengar yang belum selesai dikenal pasti oleh sesiapa.