На којим портовима OpenVPN Access Server заиста слуша?
Прођите кроз листу сокета на домаћину са Access Server-ом: препознајте подразумеване слушаоце, разликујте loopback од објављених портова и проверите прослеђивање пре него што затворите порт.
Покрећете ss -lntup на домаћину са Access Server-ом и добијате листу дупло дужу од очекиване. Половина записа су портови у облику демона које нико није поменуо током инсталације. Рефлекс је затворити све што није 443 или 1194, и тако људи разбију сопствени клијентски портал.
Access Server није један слушалац. То је VPN услуга, веб услуга и учесник у кластеру, и може генерисати додатне портове специфичне за демоне и преусмеравања заштитног зида у зависности од тога колико TCP демона сте конфигурисали.
Прођите кроз инвентар по реду: прочитајте сокете, мапирајте познате, класификујте остале по власнику и повезивању, а затим проверите шта их заиста објављује.
Почните са једном командом само за читање
sudo ss -lntup вам даје транспорт, локалну адресу, порт и власнички процес за сваки сокет који слуша. Заставице су важне: -l слушање, -n нумерички, -t TCP, -u UDP, -p процес. Без root-а добијате сокете али не и имена процеса, а то је управо колона која вам је потребна за класификацију.
Запишите четири поља по реду пре него што формирате било какво мишљење: протокол, адреса повезивања, порт и команда. Држите верзију Access Server-а и конфигурисани број демона поред те листе, јер обоје мења оно што се очекује.
Два реда која изгледају идентично нису. TCP и UDP на истом броју су одвојени сокети са одвојеном изложеношћу, а 0.0.0.0 и :: су одвојена повезивања за одвојена породице адреса. Услуга повезана само са 127.0.0.1 није директно доступна са другог домаћина, иако локално преусмеравање то још може да објави.
Слушаоци које би требало да препознате
Ове подразумеване вредности покривају већину инсталација и дају вам основу за поређење. То су подразумеване вредности, не потпуна листа дозвола.
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
Све изнад тога захтева објашњење, а не претпоставку. Често ћете видети слушаоце само за локални приступ који припадају компонентама које производ инсталира за себе. Потврдите их преко PID-а и конфигурације услуге, а не преко запамћеног броја порта, и не третирајте непознат порт као непријатељски само зато што је непознат.
Сокет изван познатог пара такође није аутоматски остатак. Када је конфигурисано више TCP демона, Access Server ствара слушаоце по демону и преусмерава саобраћај на њих, тако да њихов број и вредности портова прате ту конфигурацију.
Класификујте пре него што било шта затворите
За сваки несигуран ред одговорите на три питања овим редом.
- Власник и сврха. Повежите PID са јединицом или процесом и прочитајте конфигурацију те услуге. Ако не можете да именујете власника, нисте спремни да одлучите било шта о сокету.
- Обим повезивања. Loopback је локалан за простор имена. Повезивање wildcard-а је доступно само ако то дозвољавају рутирање, филтрирање домаћина и било која правила на нивоу облака, па је адреса повезивања неопходна али не и довољна. Проверите IPv4 и IPv6 као одвојене одлуке.
- Објављена путања. Тражите прослеђивање услуге, преусмеравања специфична за демоне, спољни прокси и ефективну политику заштитног зида. Ово је корак који људи прескачу, и он је тај који безопазан на изглед backend порт претвара у доступну административну путању.
Исто питање се чита другачије изван домаћина. Порт без правила заштитног зида домаћина и даље може бити затворен од облачне безбедносне групе, а порт са дозвољавајућим правилом домаћина може бити недоступан јер ништа не рутира ка њему. Погледајте оба краја пре него што напишете закључак инвентара.
Где се објављена путања разликује од листе сокета
Сопствена документација Access Server-а покрива случај који изазива највише забуне: када ради неколико TCP демона, предњи порт прослеђује на портове специфичне за демоне, и видљиви распоред престаје да се поклапа са листом сокета. упутство за филтрирање веб интерфејса описује та правила и зашто филтер написан само за очигледни порт може потпуно да промаши преусмерену путању.
Контрола кластера је друго место где је верзија важна. Од 3.0 дели 943; старије конфигурације кластера користиле су 945. Отварање или блокирање једне од њих без провере верзије даје уредан на изглед и погрешан инвентар.
Дакле, споља видљива површина је унија три ствари: сокета који слушају, правила прослеђивања која их поново објављују и мрежних контрола испред домаћина. Сваки инвентар који бележи само прво је непотпун, а свака промена која узима у обзир само прво или ће оставити путању отворену или ће одсећи услугу.
Проверите после сваке промене
Мењајте подешавања слушаоца преко подржаног власника конфигурације и држите конзолу за опоравак отворену док то радите. Губитак административног приступа веб интерфејсу на удаљеном домаћину не може се повратити преко VPN-а који сте управо искључили.
Затим проверите четири ствари које су инсталацији обично потребне: VPN клијент се повезује, клијентски портал се учитава, административни приступ ради и комуникација кластера и даље функционише ако покрећете више од једног чвора. Тест само VPN-а пролази удобно док је портал покварен.
Завршите тако што ћете записати дозвољену путању за сваку услугу: који сокет, које повезивање, које правило прослеђивања, која мрежна контрола. Тај документ је корисни безбедносни резултат. Минималан број сокета није, нити је масовно ресетовање које затвара слушаоце које нико није стигао да идентификује.