Na katerih vratih OpenVPN Access Server v resnici posluša?
Pojdite skozi seznam vtičnic na gostitelju Access Server: prepoznajte privzete poslušalce, ločite loopback od objavljenih vrat in preverite posredovanje, preden zaprete vrata.
Zaženete ss -lntup na gostitelju Access Server in dobite seznam dvakrat daljši od pričakovanega. Polovica vnosov so vrata v obliki demona, ki jih nihče ni omenil med namestitvijo. Refleks je zapreti vse, kar ni 443 ali 1194, in tako si ljudje zlomijo lasten portal za stranke.
Access Server ni en sam poslušalec. Je storitev VPN, spletna storitev in udeleženec gruče, in glede na število konfiguriranih demonov TCP lahko ustvari dodatna vrata, specifična za demone, in preusmeritve požarnega zidu.
Pojdite skozi popis po vrsti: preberite vtičnice, preslikajte znane, razvrstite ostale po lastniku in vezavi, nato preverite, kaj jih dejansko objavlja.
Začnite z enim samim ukazom samo za branje
sudo ss -lntup vam da transport, lokalni naslov, vrata in lastniški proces za vsako poslušajočo vtičnico. Zastavice so pomembne: -l poslušanje, -n številčno, -t TCP, -u UDP, -p proces. Brez roota dobite vtičnice, ne pa imen procesov, in to je natanko tisti stolpec, ki ga potrebujete za razvrščanje.
Preden oblikujete mnenje, za vsako vrstico zapišite štiri polja: protokol, naslov vezave, vrata in ukaz. Obdržite različico Access Server in konfigurirano število demonov ob tem seznamu, ker oboje spremeni, kaj je pričakovano.
Dve vrstici, ki izgledata enako, nista enaki. TCP in UDP na isti številki sta ločeni vtičnici z ločeno izpostavljenostjo, in 0.0.0.0 in :: sta ločeni vezavi za ločene družine naslovov. Storitev, vezana samo na 127.0.0.1 , ni neposredno dosegljiva z drugega gostitelja, čeprav jo lokalna preusmeritev lahko še vedno objavi.
Poslušalci, ki bi jih morali prepoznati
Te privzete vrednosti pokrivajo večino namestitev in vam dajo osnovo za primerjavo. To so privzete vrednosti, ne popoln seznam dovoljenih.
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
Vse nad tem potrebuje razlago, ne predpostavko. Pogosto boste videli poslušalce samo za lokalni dostop, ki pripadajo komponentam, ki jih izdelek namesti zase. Potrdite jih prek PID in konfiguracije storitve, ne po zapomneni številki vrat, in ne obravnavajte neznanih vrat kot sovražnih samo zato, ker so neznana.
Vtičnica zunaj znanega para tudi ni samodejno ostanek. Ko je konfiguriranih več demonov TCP, Access Server ustvari poslušalce za vsak demon in preusmeri promet nanje, zato njihovo število in vrednosti vrat sledijo tej konfiguraciji.
Razvrstite, preden karkoli zaprete
Za vsako negotovo vrstico odgovorite na tri vprašanja v tem vrstnem redu.
- Lastnik in namen. Povežite PID z enoto ali procesom in preberite konfiguracijo te storitve. Če lastnika ne morete imenovati, niste pripravljeni odločati o vtičnici.
- Obseg vezave. Loopback je lokalen za imenski prostor. Vezava z nadomestnim znakom je dosegljiva le, če to dovolijo usmerjanje, filtriranje gostitelja in morebitna pravila na ravni oblaka, zato je naslov vezave nujen, a ne zadosten. Preverite IPv4 in IPv6 kot ločeni odločitvi.
- Objavljena pot. Iščite posredovanje storitve, preusmeritve, specifične za demone, zunanji posrednik in dejansko politiko požarnega zidu. To je korak, ki ga ljudje preskočijo, in prav on spremeni na videz neškodljiva backend vrata v dosegljivo administrativno pot.
Isto vprašanje se od zunaj gostitelja bere drugače. Vrata brez pravila požarnega zidu gostitelja lahko vseeno zapre varnostna skupina v oblaku, vrata z dovoljujočim pravilom gostitelja pa so lahko nedosegljiva, ker nič ne usmerja vanje. Poglejte oba konca, preden napišete sklep popisa.
Kjer se objavljena pot razlikuje od seznama vtičnic
Lastna dokumentacija Access Server pokriva primer, ki povzroča največ zmede: ko teče več demonov TCP, sprednja vrata posredujejo na vrata, specifična za demone, in vidna postavitev se preneha ujemati s seznamom vtičnic. vadnica za filtriranje spletnega vmesnika opisuje ta pravila in zakaj lahko filter, napisan le za očitna vrata, popolnoma zgreši preusmerjeno pot.
Upravljanje gruče je drugo mesto, kjer je različica pomembna. Od 3.0 si deli 943; starejše konfiguracije gruče so uporabljale 945. Odpiranje ali blokiranje enih od njih brez preverjanja različice ustvari popis, ki je videti urejen in je napačen.
Zunanje vidna površina je torej združitev treh stvari: poslušajočih vtičnic, pravil posredovanja, ki jih znova objavljajo, in omrežnih kontrol pred gostiteljem. Vsak popis, ki zabeleži le prvo, je nepopoln, in vsaka sprememba, ki upošteva le prvo, bo bodisi pustila pot odprto bodisi odrezala storitev.
Preverite po vsaki spremembi
Spreminjajte nastavitve poslušalcev prek podprtega lastnika konfiguracije in med tem imejte odprto konzolo za obnovitev. Izgube skrbniškega dostopa do spletnega vmesnika na oddaljenem gostitelju ni mogoče obnoviti prek VPN, ki ste ga pravkar onemogočili.
Nato preverite štiri stvari, ki jih namestitev običajno potrebuje: odjemalec VPN se poveže, portal za stranke se naloži, skrbniški dostop deluje in komunikacija gruče še vedno deluje, če upravljate več kot eno vozlišče. Preizkus samo VPN zlahka uspe, medtem ko je portal pokvarjen.
Zaključite tako, da zapišete dovoljeno pot za vsako storitev: katera vtičnica, katera vezava, katero pravilo posredovanja, katera omrežna kontrola. Ta dokument je koristen varnostni rezultat. Najmanjše število vtičnic ni, prav tako ne množična ponastavitev, ki zapre poslušalce, ki jih nihče ni uspel prepoznati.