OpenVPN Access Server په اصل کې په کومو پورټونو غوږ نیسي؟
د Access Server کوربه په ساکټ لیست کې وګرځئ: ډیفالټ اوریدونکي وپیژنئ، loopback له خپریدو شوو پورټونو څخه جلا کړئ، او د پورټ بندولو دمخه لیږد وګورئ۔
تاسو ss -lntup د Access Server کوربه باندې چلوئ او د متوقع څخه دوه چنده اوږد لیست ترلاسه کوئ۔ نیمې ننوتنې د ډیمون په بڼه پورټونه دي چې چا د تنظیم پر مهال یاد نه کړل۔ غبرګون دا دی چې هر هغه څه بند کړئ چې 443 یا 1194 نه وي، او همدا ډول خلک خپل کلاینټ پورټل ماتوي۔
Access Server یو اوریدونکی نه دی۔ دا VPN خدمت، ویب خدمت او کلسټر ګډونوال دی، او د هغو TCP ډیمونونو شمیر پورې اړه لري چې تاسو تنظیم کړي، دا اضافي ډیمون-ځانګړي پورټونه او د اور وژنې دیوال بیاځلي لارښوونې جوړولی شي۔
د پورټونو لیست په ترتیب سره وګورئ: ساکټونه ولولئ، پیژندل شوي نقشه کړئ، پاتې نور د مالک او تړاو له مخې طبقه بندي کړئ، بیا وګورئ چې په ریښتیا یې څه خپروي۔
د یو یوازې-لوستلو حکم سره پیل وکړئ
sudo ss -lntup د هر غوږ نیونکي ساکټ لپاره ټرانسپورټ، ځایي پته، پورټ او مالک پروسه درکوي۔ بیرغونه مهم دي: -l غوږ نیول، -n عددي، -t TCP، -u UDP، -p پروسه۔ د root پرته تاسو ساکټونه ترلاسه کوئ خو د پروسو نومونه نه، او د طبقه بندي لپاره هماغه کالم ته اړتیا ده۔
د هر ډول نظر جوړولو دمخه د هر قطار لپاره څلور ځایونه ولیکئ: پروتوکول، د تړاو پته، پورټ او حکم۔ د Access Server نسخه او تنظیم شوي ډیمون شمیر د دې لیست ترڅنګ وساتئ، ځکه دواړه متوقع بدلوي۔
دوه هغه قطارونه چې یو ډول ښکاري یو ډول نه دي۔ په یوه شمیره باندې TCP او UDP جلا ساکټونه دي چې جلا ښکاریدنه لري، او 0.0.0.0 او :: د جلا پتې کورنیو لپاره جلا تړاوونه دي۔ یوازې 127.0.0.1 پورې تړل شوی خدمت له بل کوربه څخه مستقیم نه شي رسیدلی، که څه هم ځایي بیاځلي لارښوونه لاهم کولی شي هغه خپره کړي۔
هغه اوریدونکي چې تاسو یې باید وپیژنئ
دا ډیفالټ ارزښتونه ډیری ځای پرځای کول پوښي او د پرتله کولو لپاره بنسټ درکوي۔ دا ډیفالټ دي، نه بشپړ اجازت لیست۔
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
له دې هاخوا هر څه تشریح ته اړتیا لري، نه انګیرنې ته۔ تاسو به ډیری وخت یوازې-ځایي اوریدونکي ووینئ چې د هغو برخو دي چې محصول یې د ځان لپاره نصبوي۔ هغه د یاد شوي پورټ شمیرې پرځای د PID او خدمت تنظیم له مخې تایید کړئ، او ناپیژندل شوی پورټ یوازې د ناپیژندل کیدو له امله دښمن مه ګڼئ۔
له پیژندل شوې جوړې بهر ساکټ هم په اتوماتيک ډول پاتې نه دی۔ کله چې څو TCP ډیمونونه تنظیم شي، Access Server د هر ډیمون لپاره اوریدونکي جوړوي او ترافیک هغوی ته بیاځلي لارښوونه کوي، نو شمیر او د پورټ ارزښتونه یې هماغه تنظیم تعقیبوي۔
د هر څه بندولو دمخه طبقه بندي وکړئ
د هر ناڅرګند قطار لپاره په دې ترتیب درې پوښتنو ته ځواب ورکړئ۔
- مالک او هدف۔ PID له یو واحد یا پروسې سره وتړئ او د هغه خدمت تنظیم ولولئ۔ که تاسو د مالک نوم نشئ ویلای، تاسو د ساکټ په اړه د هر څه فیصله کولو لپاره چمتو نه یاست۔
- د تړاو ساحه۔ Loopback د نوم تشې لپاره ځایي دی۔ وایلدکارډ تړاو یوازې هغه وخت رسیدلی شي چې لارښوونه، د کوربه فلټرول او د بادل کچې هر ډول قاعده اجازه ورکړي، نو د تړاو پته اړینه ده خو کافي نه ده۔ IPv4 او IPv6 د جلا پرېکړو په توګه وګورئ۔
- خپره شوې لار۔ د خدمت لیږد، ډیمون-ځانګړي بیاځلي لارښوونې، بهرنی پراکسي او اغیزمنه د اور وژنې دیوال پالیسي پلټنه وکړئ۔ دا هغه ګام دی چې خلک یې پرېږدي، او همدا هغه دی چې زیان نه لرونکي ښکاریدونکي backend پورټ په رسیدونکې اداري لار بدلوي۔
هماغه پوښتنه د کوربه بهر څخه بل ډول لوستل کیږي۔ هغه پورټ چې د کوربه د اور وژنې دیوال قاعده نه لري لاهم کیدای شي د بادل امنیتي ډلې بند کړي، او هغه پورټ چې اجازه ورکوونکې کوربه قاعده لري ممکن نه رسیدونکي وي ځکه چې هېڅ شی ورته لار نه لګوي۔ مخکې لدې چې د لیست پایله ولیکئ دواړه پایونه وګورئ۔
چیرته چې خپره شوې لار د ساکټ لیست څخه توپیر لري
Access Server خپله مستندات هغه حالت پوښي چې ترټولو ډیر ګډوډي جوړوي: کله چې څو TCP ډیمونونه روان وي، مخکینی پورټ ډیمون-ځانګړو پورټونو ته لیږدوي، او ښکاریدونکې ترتیب د ساکټ لیست سره سمون نه خوري۔ د ویب انټرفیس د فلټرولو ښوونیزه لیکنه هغه قواعد او دا چې ولې یوازې د څرګند پورټ لپاره لیکل شوی فلټر بیاځلي لارښوول شوې لار په بشپړه توګه له لاسه ورکولی شي بیانوي۔
د کلسټر کنټرول دوهم ځای دی چې نسخه پکې مهمه ده۔ په 3.0 او وروسته کې دا 943 شریکوي؛ زاړه کلسټر تنظیمات 945 کارول۔ پرته لدې چې نسخه وګورئ یو یې خلاصول یا بندول یو ښکلی ښکاریدونکی خو غلط لیست جوړوي۔
نو د بهر څخه ښکاریدونکې سطحه د درې شیانو یووالی دی: غوږ نیونکي ساکټونه، هغه لیږد قواعد چې هغه بیا خپروي، او د کوربه مخې ته شبکهي کنټرولونه۔ هر لیست چې یوازې لومړی ثبتوي نیمګړی دی، او هر بدلون چې یوازې لومړی په پام کې نیسي یا به لار پرانیستې پریږدي یا به خدمت پرې کړي۔
له هر بدلون وروسته تایید کړئ
د اوریدونکي تنظیمات د ملاتړ شوي تنظیم مالک له لارې بدل کړئ او د دې کار پر مهال د بیا رغونې کنسول پرانیستی وساتئ۔ په لیرې کوربه باندې د ویب انټرفیس اداري لاسرسي له لاسه ورکول د هغه VPN له لارې نه رغیدای شي چې تاسو یې همدا اوس غیر فعال کړ۔
بیا هغه څلور شیان تایید کړئ چې یو ځای پرځای کول معمولا ورته اړتیا لري: VPN کلاینټ نښلوي، د کلاینټ پورټل بار کیږي، اداري لاسرسی کار کوي، او که تاسو له یوې څخه زیات نوډ چلوئ کلسټر اړیکه لاهم کار کوي۔ یوازې-VPN ازموینه د پورټل مات پرمهال هم په ارامۍ سره تیریږي۔
د هر خدمت لپاره اجازه ورکړل شوې لار ولیکئ او پای ته ورسوئ: کوم ساکټ، کوم تړاو، کوم لیږد قاعده، کوم شبکهي کنټرول۔ هماغه سند ګټور امنیتي پایلې دی۔ لږترلږه ساکټ شمیر نه، او نه هغه ډله ایز بیا تنظیم چې هغه اوریدونکي بندوي چې چا یې پیژندنه نه ده بشپړه کړې۔