Fuq liema portijiet OpenVPN Access Server tassew jisma’?

Inti tħaddem ss -lntup fuq host Access Server u tikseb lista d-doppju itwal milli mistenni. Nofs l-entrati huma portijiet fil-forma ta’ daemon li ħadd ma semma waqt l-istallazzjoni. Ir-reazjoni hija li tagħlaq kollox li mhuwiex 443 jew 1194, u hekk in-nies ikissru l-portal tal-klijenti tagħhom stess.

Access Server mhux semmiegħ wieħed. Huwa servizz VPN, servizz web u parteċipant tal-cluster, u jista’ jiġġenera portijiet addizzjonali speċifiċi għad-daemons u ridirezzjonijiet tal-firewall skont kemm ikkonfigurajt daemons TCP.

Mur fl-inventarju bl-ordni: aqra s-sockets, immappa dawk familjari, ikklassifika l-bqija skont is-sid u l-binding, imbagħad iċċekkja x’qed jippubblikahom tassew.

Ibda b’wieħed biss kmand ta’ qari biss

sudo ss -lntup jagħtik trasport, indirizz lokali, port u proċess tas-sid għal kull socket li qed jisma’. Il-flags importanti: -l smigħ, -n numeriku, -t TCP, -u UDP, -p proċess. Mingħajr root tikseb is-sockets imma mhux l-ismijiet tal-proċessi, u dik hija eżattament il-kolonna li għandek bżonn għall-klassifikazzjoni.

Irreġistra erba’ oqsma għal kull ringiela qabel ma tifforma xi opinjoni: protokoll, indirizz tal-binding, port u kmand. Żomm il-verżjoni ta’ Access Server u n-numru ta’ daemons ikkonfigurat ħdejn dik il-lista, għax it-tnejn jibdlu dak li huwa mistenni.

Żewġ ringieli li jidhru identiċi mhumiex. TCP u UDP fuq l-istess numru huma sockets separati b’espożizzjoni separata, u 0.0.0.0 u :: huma bindings separati għal familji ta’ indirizzi separati. Servizz marbut biss ma’ 127.0.0.1 mhuwiex aċċessibbli direttament minn host ieħor, għalkemm ridirezzjoni lokali xorta tista’ tippubblikah.

Is-semmiegħa li għandek tagħraf

Dawn il-valuri awtomatiċi jkopru l-biċċa l-kbira tad-deployments u jagħtuk bażi għat-tqabbil. Huma valuri awtomatiċi, mhux lista sħiħa ta’ permessi.

Kollox lil hinn minn dan jeħtieġ spjegazzjoni, mhux suppożizzjoni. Ħafna drabi tara semmiegħa lokali biss li jappartjenu għal komponenti li l-prodott jinstalla għalih innifsu. Ikkonfermahom permezz ta’ PID u l-konfigurazzjoni tas-servizz minflok numru tal-port li tiftakar, u tittrattax port mhux magħruf bħala ostili biss għax mhux magħruf.

Socket barra mill-par magħruf lanqas mhuwa awtomatikament fdal. Meta jiġu kkonfigurati diversi daemons TCP, Access Server joħloq semmiegħa għal kull daemon u jridirezzjona t-traffiku lejhom, għalhekk in-numru u l-valuri tal-port tagħhom isegwu dik il-konfigurazzjoni.

Ikklaasifika qabel ma tagħlaq xi ħaġa

Għal kull ringiela inċerta, wieġeb tliet mistoqsijiet b’dan l-ordni.

1. Sid u skop. Qabbel il-PID ma’ unit jew proċess u aqra l-konfigurazzjoni ta’ dak is-servizz. Jekk ma tistax issemmi s-sid, m’intix lest li tiddeċiedi xejn dwar is-socket.
2. Firxa tal-binding. Loopback huwa lokali għall-ispazju tal-ismijiet. Binding wildcard huwa aċċessibbli biss jekk ir-routing, il-filtrazzjoni tal-host u xi regoli fil-livell tal-cloud jippermettuh, għalhekk l-indirizz tal-binding huwa meħtieġ imma mhux biżżejjed. Iċċekkja IPv4 u IPv6 bħala deċiżjonijiet separati.
3. Mogħdija ppubblikata. Fittex forwarding tas-servizz, ridirezzjonijiet speċifiċi għad-daemons, proxy estern u l-politika effettiva tal-firewall. Dan huwa l-pass li n-nies jaqbżu, u huwa dak li jagħmel port backend li jidher bla ħsara f’mogħdija amministrattiva aċċessibbli.

L-istess mistoqsija tinqara b’mod differenti minn barra l-host. Port mingħajr regola tal-firewall tal-host xorta jista’ jingħalaq minn grupp tas-sigurtà tal-cloud, u port b’regola tal-host permissiva jista’ ma jkunx aċċessibbli għax xejn ma jirrotta lejh. Ħares lejn iż-żewġ trufijiet qabel ma tikteb il-konklużjoni tal-inventarju.

Fejn il-mogħdija ppubblikata tvarja mil-lista tas-sockets

Id-dokumentazzjoni ta’ Access Server innifsu tkopri l-każ li joħloq l-aktar konfużjoni: meta jkunu qed jaħdmu diversi daemons TCP, il-port ta’ quddiem jifforwards lejn portijiet speċifiċi għad-daemons, u t-tqassim viżibbli ma jibqax jaqbel mal-lista tas-sockets. tutorial dwar il-filtrazzjoni tal-interface web jiddeskrivi dawk ir-regoli u għaliex filtru miktub biss għall-port ovvju jista’ jonqos għal kollox il-mogħdija ridirezzjonata.

Il-kontroll tal-cluster huwa t-tieni post fejn il-verżjoni hija importanti. Fl-3.0 u aktar tard jaqsam 943; konfigurazzjonijiet tal-cluster eqdem użaw 945. Li tiftaħ jew timblokka waħda minnhom mingħajr ma tiċċekkja l-verżjoni tipproduċi inventarju li jidher pulit u huwa żbaljat.

Għalhekk il-wiċċ viżibbli minn barra huwa l-għaqda ta’ tliet affarijiet: sockets li qed jisimgħu, regoli tal-forwarding li jerġgħu jippubblikawhom, u l-kontrolli tan-netwerk quddiem il-host. Kwalunkwe inventarju li jirreġistra biss l-ewwel huwa inkomplet, u kwalunkwe bidla li tqis biss l-ewwel jew tħalli mogħdija miftuħa jew taqta’ servizz.

Ivverifika wara kwalunkwe bidla

Ibdel is-settings tas-semmiegħ permezz tas-sid tal-konfigurazzjoni appoġġat u żomm console ta’ rkupru miftuħa waqt li tagħmel dan. It-telf ta’ aċċess amministrattiv għal interface web fuq host remot mhuwiex irkuprat permezz tal-VPN li għadek kif iddiżattivajt.

Imbagħad ivvalida l-erba’ affarijiet li deployment normalment jeħtieġ: klijent VPN jikkonnettja, il-portal tal-klijenti jitgħabba, l-aċċess amministrattiv jaħdem, u l-komunikazzjoni tal-cluster għadha taħdem jekk tmexxi aktar minn node wieħed. Test tal-VPN biss jgħaddi komdu waqt li l-portal ikun miksur.

Lesti billi tikteb il-mogħdija permessa għal kull servizz: liema socket, liema binding, liema regola tal-forwarding, liema kontroll tan-netwerk. Dak id-dokument huwa l-output tas-sigurtà utli. Numru minimu ta’ sockets mhuwiex, u lanqas reset massiv li jagħlaq semmiegħa li ħadd ma spiċċa jidentifikahom.