Në cilat porte dëgjon në të vërtetë OpenVPN Access Server?

Ju ekzekutoni ss -lntup në një host Access Server dhe merrni një listë dy herë më të gjatë sesa pritej. Gjysma e zërave janë porte në formë daemoni për të cilat askush nuk foli gjatë instalimit. Refleksi është të mbyllësh gjithçka që nuk është 443 ose 1194, dhe kështu njerëzit prishin portalin e tyre të klientëve.

Access Server nuk është një dëgjues i vetëm. Është një shërbim VPN, një shërbim web dhe një pjesëmarrës në grup, dhe mund të gjenerojë porte shtesë specifike për daemonët dhe ridrejtime të firewall-it në varësi të numrit të daemonëve TCP që keni konfiguruar.

Përshkoni inventarin sipas radhës: lexoni soketët, hartoni ata të njohur, klasifikoni pjesën tjetër sipas pronarit dhe lidhjes, dhe më pas kontrolloni se çfarë i publikon në të vërtetë.

Filloni me një komandë vetëm për lexim

sudo ss -lntup ju jep transportin, adresën lokale, portin dhe procesin pronar për çdo soket që dëgjon. Flamujt kanë rëndësi: -l dëgjim, -n numerik, -t TCP, -u UDP, -p proces. Pa root merrni soketët por jo emrat e proceseve, dhe pikërisht ajo kolonë ju nevojitet për klasifikim.

Regjistroni katër fusha për rresht përpara se të formoni ndonjë mendim: protokolli, adresa e lidhjes, porti dhe komanda. Mbani versionin e Access Server dhe numrin e konfiguruar të daemonëve pranë asaj liste, sepse të dy ndryshojnë atë që pritet.

Dy rreshta që duken identikë nuk janë. TCP dhe UDP në të njëjtin numër janë soketë të veçantë me ekspozim të veçantë, dhe 0.0.0.0 dhe :: janë lidhje të veçanta për familje adresash të veçanta. Një shërbim i lidhur vetëm me 127.0.0.1 nuk është i arritshëm drejtpërdrejt nga një host tjetër, megjithëse një ridrejtim lokal ende mund ta publikojë.

Dëgjuesit që duhet të njihni

Këto vlera të parazgjedhura mbulojnë shumicën e instalimeve dhe ju japin një bazë për krahasim. Janë vlera të parazgjedhura, jo një listë e plotë lejimesh.

Çdo gjë përtej kësaj kërkon shpjegim, jo supozim. Shpesh do të shihni dëgjues vetëm lokalë që i përkasin komponentëve që produkti instalon për vete. Konfirmojini përmes PID dhe konfigurimit të shërbimit në vend të një numri porti të mbajtur mend, dhe mos e trajtoni një port të panjohur si armiqësor vetëm sepse është i panjohur.

Një soket jashtë çiftit të njohur gjithashtu nuk është automatikisht mbetje. Kur konfigurohen disa daemonë TCP, Access Server krijon dëgjues për çdo daemon dhe ridrejton trafikun drejt tyre, kështu që numri dhe vlerat e portit ndjekin atë konfigurim.

Klasifikoni përpara se të mbyllni diçka

Për çdo rresht të pasigurt, përgjigjuni tre pyetjeve në këtë rend.

1. Pronari dhe qëllimi. Përputhni PID me një njësi ose proces dhe lexoni konfigurimin e atij shërbimi. Nëse nuk mund të emërtoni pronarin, nuk jeni gati të vendosni asgjë për soketin.
2. Shtrirja e lidhjes. Loopback është lokal për hapësirën e emrave. Një lidhje wildcard është e arritshme vetëm nëse routimi, filtrimi i hostit dhe çdo rregull në nivel reje e lejojnë, kështu që adresa e lidhjes është e nevojshme por jo e mjaftueshme. Kontrolloni IPv4 dhe IPv6 si vendime të veçanta.
3. Rruga e publikuar. Kërkoni përcjelljen e shërbimit, ridrejtimet specifike për daemonët, një proxy të jashtëm dhe politikën efektive të firewall-it. Ky është hapi që njerëzit e anashkalojnë, dhe është ai që e kthen një port backend në dukje të pafajshëm në një rrugë administrative të arritshme.

E njëjta pyetje lexohet ndryshe nga jashtë hostit. Një port pa rregull firewall-i hosti mund të mbyllet ende nga një grup sigurie reje, dhe një port me një rregull lejues hosti mund të jetë i paarritshëm sepse asgjë nuk routohet drejt tij. Shikoni të dy skajet përpara se të shkruani përfundimin e inventarit.

Ku rruga e publikuar ndryshon nga lista e soketëve

Dokumentacioni i vetë Access Server mbulon rastin që shkakton më shumë konfuzion: kur ekzekutohen disa daemonë TCP, porti i përparmë përcjell drejt porteve specifike për daemonët, dhe struktura e dukshme nuk përputhet më me listën e soketëve. tutoriali i filtrimit të ndërfaqes web përshkruan ato rregulla dhe pse një filtër i shkruar vetëm për portin e dukshëm mund të humbasë plotësisht rrugën e ridrejtuar.

Kontrolli i grupit është vendi i dytë ku versioni ka rëndësi. Nga 3.0 ndan 943; konfigurimet më të vjetra të grupit përdornin 945. Hapja ose bllokimi i njërës prej tyre pa kontrolluar versionin prodhon një inventar që duket i rregullt dhe është i gabuar.

Pra, sipërfaqja e dukshme nga jashtë është bashkimi i tre gjërave: soketët që dëgjojnë, rregullat e përcjelljes që i publikojnë përsëri dhe kontrollet e rrjetit përpara hostit. Çdo inventar që regjistron vetëm të parën është i paplotë, dhe çdo ndryshim që merr parasysh vetëm të parën ose do të lërë një rrugë të hapur ose do të presë një shërbim.

Verifikoni pas çdo ndryshimi

Ndryshoni cilësimet e dëgjuesit përmes pronarit të konfigurimit të mbështetur dhe mbani një konsolë rikuperimi të hapur ndërsa e bëni këtë. Humbja e aksesit administrativ në një ndërfaqe web në një host të largët nuk rikuperohet përmes VPN-së që sapo çaktivizuat.

Më pas vlerësoni katër gjërat që një instalim zakonisht ka nevojë: një klient VPN lidhet, portali i klientëve ngarkohet, aksesi administrativ funksionon dhe komunikimi i grupit vazhdon të funksionojë nëse ekzekutoni më shumë se një nyje. Një test vetëm me VPN kalon rehat ndërsa portali është i prishur.

Përfundoni duke shkruar rrugën e lejuar për çdo shërbim: cili soket, cila lidhje, cili rregull përcjelljeje, cili kontroll rrjeti. Ky dokument është rezultati i dobishëm i sigurisë. Një numër minimal soketësh nuk është, dhe as një rivendosje masive që mbyll dëgjues që askush nuk mbaroi së identifikuari.