OpenVPN Access Server husikiliza kwenye bandari gani hasa?

Unaendesha ss -lntup kwenye mwenyeji wa Access Server na unapata orodha ndefu mara mbili kuliko ilivyotarajiwa. Nusu ya maingizo ni bandari zenye umbo la daemon ambazo hakuna aliyetaja wakati wa usanidi. Mwitikio ni kufunga kila kitu ambacho si 443 au 1194, na hivyo ndivyo watu wanavunja lango lao la wateja.

Access Server si msikilizaji mmoja. Ni huduma ya VPN, huduma ya wavuti na mshiriki wa nguzo, na inaweza kuzalisha bandari za ziada mahususi kwa daemon na mielekezo ya firewall kulingana na idadi ya daemon za TCP ulizozisanidi.

Pitia orodha kwa mpangilio: soma soketi, panga ramani za zile zinazojulikana, ainisha zilizobaki kwa mmiliki na uunganishaji, kisha uangalie kinachozichapisha kwa kweli.

Anza kwa amri moja ya kusoma tu

sudo ss -lntup inakupa usafirishaji, anwani ya ndani, bandari na mchakato mmiliki kwa kila soketi inayosikiliza. Bendera ni muhimu: -l kusikiliza, -n nambari, -t TCP, -u UDP, -p mchakato. Bila root unapata soketi lakini si majina ya michakato, na hiyo ndiyo safu unayohitaji kwa uainishaji.

Rekodi sehemu nne kwa kila mstari kabla ya kuunda maoni yoyote: itifaki, anwani ya uunganishaji, bandari na amri. Weka toleo la Access Server na idadi ya daemon iliyosanidiwa kando ya orodha hiyo, kwa sababu zote mbili hubadilisha kile kinachotarajiwa.

Mistari miwili inayoonekana sawa si sawa. TCP na UDP kwenye nambari moja ni soketi tofauti zenye mfiduo tofauti, na 0.0.0.0 na :: ni uunganishaji tofauti kwa familia za anwani tofauti. Huduma iliyounganishwa tu na 127.0.0.1 haifikiki moja kwa moja kutoka mwenyeji mwingine, ingawa mwelekeo wa ndani bado unaweza kuichapisha.

Visikilizaji unapaswa kuvitambua

Thamani hizi chaguo-msingi hufunika usambazaji mwingi na kukupa msingi wa kulinganisha. Ni chaguo-msingi, si orodha kamili ya ruhusa.

Kila kitu zaidi ya hapo kinahitaji maelezo, si dhana. Mara nyingi utaona visikilizaji vya ndani tu vinavyomilikiwa na vipengele ambavyo bidhaa hii inavisakinisha kwa ajili yake yenyewe. Vithibitishe kwa PID na usanidi wa huduma badala ya nambari ya bandari inayokumbukwa, na usichukue bandari isiyojulikana kama adui kwa sababu tu haijulikani.

Soketi nje ya jozi inayojulikana pia si mabaki kiotomatiki. Wakati daemon kadhaa za TCP zimesanidiwa, Access Server huunda visikilizaji kwa kila daemon na huelekeza trafiki kwao, kwa hivyo idadi na thamani za bandari zao hufuata usanidi huo.

Ainisha kabla ya kufunga kitu chochote

Kwa kila mstari usio na uhakika, jibu maswali matatu kwa mpangilio huu.

1. Mmiliki na madhumuni. Linganisha PID na kitengo au mchakato na usome usanidi wa huduma hiyo. Ikiwa huwezi kumtaja mmiliki, hauko tayari kuamua chochote kuhusu soketi.
2. Wigo wa uunganishaji. Loopback ni ya ndani kwa nafasi ya majina. Uunganishaji wa wildcard unafikika tu ikiwa uelekezaji, uchujaji wa mwenyeji na sheria zozote za kiwango cha wingu zinaruhusu, kwa hivyo anwani ya uunganishaji ni muhimu lakini haitoshi. Angalia IPv4 na IPv6 kama maamuzi tofauti.
3. Njia iliyochapishwa. Tafuta uelekezaji wa huduma, mielekezo mahususi kwa daemon, proksi ya nje na sera halisi ya firewall. Hii ni hatua ambayo watu huiruka, na ndiyo inayobadilisha bandari ya backend inayoonekana haina madhara kuwa njia ya kiutawala inayofikika.

Swali hilo hilo husomwa tofauti kutoka nje ya mwenyeji. Bandari isiyo na sheria ya firewall ya mwenyeji bado inaweza kufungwa na kikundi cha usalama cha wingu, na bandari yenye sheria inayoruhusu ya mwenyeji inaweza kushindwa kufikika kwa sababu hakuna kinachoelekeza huko. Angalia pande zote mbili kabla ya kuandika hitimisho la orodha.

Mahali ambapo njia iliyochapishwa inatofautiana na orodha ya soketi

Nyaraka za Access Server yenyewe zinashughulikia kisa kinachosababisha mkanganyiko mkubwa: wakati daemon kadhaa za TCP zinaendesha, bandari ya mbele huelekeza kwa bandari mahususi kwa daemon, na mpangilio unaoonekana huacha kulingana na orodha ya soketi. mafunzo ya uchujaji wa kiolesura cha wavuti yanaeleza sheria hizo na kwa nini kichujio kilichoandikwa kwa bandari dhahiri tu kinaweza kukosa njia iliyoelekezwa kabisa.

Udhibiti wa nguzo ni mahali pa pili ambapo toleo ni muhimu. Kuanzia 3.0 inashiriki 943; usanidi wa zamani wa nguzo ulitumia 945. Kufungua au kuzuia mojawapo bila kuangalia toleo huzalisha orodha inayoonekana nadhifu na isiyo sahihi.

Kwa hivyo uso unaoonekana kutoka nje ni muungano wa mambo matatu: soketi zinazosikiliza, sheria za uelekezaji zinazozichapisha tena, na udhibiti wa mtandao mbele ya mwenyeji. Orodha yoyote inayorekodi ya kwanza tu haijakamilika, na mabadiliko yoyote yanayozingatia ya kwanza tu yataacha njia wazi au yatakata huduma.

Thibitisha baada ya mabadiliko yoyote

Badilisha mipangilio ya msikilizaji kupitia mmiliki wa usanidi unaotumika na uweke konsoli ya urejeshaji wazi unapofanya hivyo. Kupoteza ufikiaji wa kiutawala kwa kiolesura cha wavuti kwenye mwenyeji wa mbali hakuwezi kurejeshwa kupitia VPN uliyoizima hivi punde.

Kisha thibitisha mambo manne ambayo usambazaji kawaida huhitaji: mteja wa VPN anajiunga, lango la wateja linapakiwa, ufikiaji wa kiutawala unafanya kazi, na mawasiliano ya nguzo bado yanafanya kazi ikiwa unaendesha nodi zaidi ya moja. Jaribio la VPN pekee hupita kwa raha wakati lango limevunjika.

Maliza kwa kuandika njia inayoruhusiwa kwa kila huduma: soketi ipi, uunganishaji upi, sheria ipi ya uelekezaji, udhibiti upi wa mtandao. Hati hiyo ni matokeo muhimu ya usalama. Idadi ya chini ya soketi siyo, na pia si upangaji upya wa jumla unaofunga visikilizaji ambavyo hakuna aliyekamilisha kuvitambua.