OpenVPN Access Server నిజానికి ఏ పోర్టులపై వింటుంది?
Access Server హోస్ట్లోని సాకెట్ జాబితాను చూడండి: డిఫాల్ట్ శ్రోతలను గుర్తించండి, loopback మరియు ప్రచురిత పోర్టులను వేరు చేయండి, పోర్టును మూసే ముందు ఫార్వార్డింగ్ను తనిఖీ చేయండి.
మీరు ss -lntup ను Access Server హోస్ట్లో అమలు చేస్తారు మరియు ఊహించిన దానికంటే రెట్టింపు పొడవైన జాబితా పొందుతారు. సగం ఎంట్రీలు సెటప్ సమయంలో ఎవరూ పేర్కొనని డీమన్ ఆకారపు పోర్టులు. ప్రతిస్పందన 443 లేదా 1194 కాని ప్రతిదీ మూసివేయడం, అలాగే ప్రజలు తమ స్వంత క్లయింట్ పోర్టల్ను పాడు చేసుకుంటారు.
Access Server ఒకే శ్రోత కాదు. ఇది VPN సేవ, వెబ్ సేవ మరియు క్లస్టర్ భాగస్వామి, మరియు మీరు ఎన్ని TCP డీమన్లను కాన్ఫిగర్ చేశారో దానిని బట్టి అదనపు డీమన్-నిర్దిష్ట పోర్టులు మరియు ఫైర్వాల్ మళ్లింపులను సృష్టించగలదు.
జాబితాను క్రమంగా చూడండి: సాకెట్లను చదవండి, తెలిసిన వాటిని మ్యాప్ చేయండి, మిగిలిన వాటిని యజమాని మరియు బైండ్ ప్రకారం వర్గీకరించండి, ఆపై వాటిని నిజంగా ఏది ప్రచురిస్తుందో తనిఖీ చేయండి.
ఒకే చదవడం-మాత్రమే ఆదేశంతో ప్రారంభించండి
sudo ss -lntup వినిపించే ప్రతి సాకెట్కు రవాణా, స్థానిక చిరునామా, పోర్టు మరియు యజమాని ప్రక్రియను ఇస్తుంది. ఫ్లాగ్లు ముఖ్యం: -l వినడం, -n సంఖ్యాత్మక, -t TCP, -u UDP, -p ప్రక్రియ. root లేకుండా మీకు సాకెట్లు లభిస్తాయి కానీ ప్రక్రియ పేర్లు లభించవు, మరియు వర్గీకరణకు సరిగ్గా ఆ నిలువు వరుస కావాలి.
ఏదైనా అభిప్రాయాన్ని ఏర్పరచుకునే ముందు ప్రతి వరుసకు నాలుగు ఫీల్డ్లను నమోదు చేయండి: ప్రోటోకాల్, బైండ్ చిరునామా, పోర్టు మరియు ఆదేశం. Access Server సంస్కరణ మరియు కాన్ఫిగర్ చేసిన డీమన్ సంఖ్యను ఆ జాబితా పక్కన ఉంచండి, ఎందుకంటే రెండూ ఆశించిన దాన్ని మారుస్తాయి.
ఒకేలా కనిపించే రెండు వరుసలు ఒకేలా ఉండవు. ఒకే సంఖ్యపై TCP మరియు UDP వేర్వేరు ఎక్స్పోజర్ ఉన్న వేర్వేరు సాకెట్లు, మరియు 0.0.0.0 మరియు :: వేర్వేరు చిరునామా కుటుంబాలకు వేర్వేరు బైండ్లు. కేవలం 127.0.0.1 కు బద్ధమైన సేవ మరొక హోస్ట్ నుండి నేరుగా చేరుకోలేము, అయినా స్థానిక మళ్లింపు దాన్ని ఇంకా ప్రచురించగలదు.
మీరు గుర్తించవలసిన శ్రోతలు
ఈ డిఫాల్ట్ విలువలు చాలా అమరికలను కవర్ చేస్తాయి మరియు పోల్చడానికి ఆధారాన్ని ఇస్తాయి. ఇవి డిఫాల్ట్లు, పూర్తి అనుమతి జాబితా కాదు.
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
దీనికి మించిన ప్రతిదానికి వివరణ అవసరం, ఊహ కాదు. ఉత్పత్తి తన కోసం ఇన్స్టాల్ చేసే భాగాలకు చెందిన స్థానిక-మాత్రమే శ్రోతలను మీరు తరచుగా చూస్తారు. వాటిని గుర్తుంచుకున్న పోర్టు సంఖ్యకు బదులు PID మరియు సేవా కాన్ఫిగరేషన్ ద్వారా నిర్ధారించండి, మరియు తెలియని పోర్టును తెలియని కారణంగానే శత్రువుగా పరిగణించవద్దు.
తెలిసిన జత వెలుపలి సాకెట్ కూడా స్వయంచాలకంగా మిగిలిపోయినది కాదు. అనేక TCP డీమన్లు కాన్ఫిగర్ చేయబడినప్పుడు, Access Server ప్రతి డీమన్కు శ్రోతలను సృష్టించి ట్రాఫిక్ను వాటికి మళ్లిస్తుంది, కాబట్టి వాటి సంఖ్య మరియు పోర్టు విలువలు ఆ కాన్ఫిగరేషన్ను అనుసరిస్తాయి.
ఏదైనా మూసే ముందు వర్గీకరించండి
ప్రతి అనిశ్చిత వరుసకు ఈ క్రమంలో మూడు ప్రశ్నలకు సమాధానం ఇవ్వండి.
- యజమాని మరియు ఉద్దేశ్యం. PID ను యూనిట్ లేదా ప్రక్రియతో సరిపోల్చి ఆ సేవ యొక్క కాన్ఫిగరేషన్ను చదవండి. యజమానిని పేర్కొనలేకపోతే, సాకెట్ గురించి ఏదైనా నిర్ణయించడానికి మీరు సిద్ధంగా లేరు.
- బైండ్ పరిధి. Loopback నామస్థలానికి స్థానికం. వైల్డ్కార్డ్ బైండ్ రూటింగ్, హోస్ట్ ఫిల్టరింగ్ మరియు ఏదైనా క్లౌడ్-స్థాయి నియమాలు అనుమతిస్తే మాత్రమే చేరుకోగలము, కాబట్టి బైండ్ చిరునామా అవసరం కానీ సరిపోదు. IPv4 మరియు IPv6 లను వేర్వేరు నిర్ణయాలుగా తనిఖీ చేయండి.
- ప్రచురిత మార్గం. సేవా ఫార్వార్డింగ్, డీమన్-నిర్దిష్ట మళ్లింపులు, బాహ్య ప్రాక్సీ మరియు ప్రభావవంతమైన ఫైర్వాల్ విధానాన్ని వెతకండి. ప్రజలు దాటవేసే దశ ఇదే, మరియు హానికరం కానట్టు కనిపించే backend పోర్టును చేరుకోగల పరిపాలనా మార్గంగా మార్చేది కూడా ఇదే.
అదే ప్రశ్న హోస్ట్ వెలుపల నుండి భిన్నంగా చదవబడుతుంది. హోస్ట్ ఫైర్వాల్ నియమం లేని పోర్టును క్లౌడ్ భద్రతా సమూహం ఇంకా మూసివేయవచ్చు, మరియు అనుమతించే హోస్ట్ నియమం ఉన్న పోర్టు అక్కడికి ఏదీ రూట్ చేయనందున చేరుకోలేకపోవచ్చు. జాబితా ముగింపును రాసే ముందు రెండు చివరలను చూడండి.
ప్రచురిత మార్గం సాకెట్ జాబితా నుండి భిన్నంగా ఉన్న చోట
Access Server యొక్క స్వంత డాక్యుమెంటేషన్ అత్యధిక గందరగోళాన్ని కలిగించే సందర్భాన్ని కవర్ చేస్తుంది: అనేక TCP డీమన్లు నడుస్తున్నప్పుడు, ముందు పోర్టు డీమన్-నిర్దిష్ట పోర్టులకు ఫార్వార్డ్ చేస్తుంది, మరియు కనిపించే అమరిక సాకెట్ జాబితాతో సరిపోలడం ఆగిపోతుంది. వెబ్ ఇంటర్ఫేస్ ఫిల్టరింగ్ ట్యుటోరియల్ ఆ నియమాలను మరియు స్పష్టమైన పోర్టుకు మాత్రమే రాసిన ఫిల్టర్ మళ్లించిన మార్గాన్ని పూర్తిగా కోల్పోవడం ఎందుకు అని వివరిస్తుంది.
క్లస్టర్ నియంత్రణ సంస్కరణ ముఖ్యమైన రెండవ ప్రదేశం. 3.0 మరియు తర్వాత అది 943 ను పంచుకుంటుంది; పాత క్లస్టర్ కాన్ఫిగరేషన్లు 945 ఉపయోగించాయి. సంస్కరణను తనిఖీ చేయకుండా వాటిలో ఒకదాన్ని తెరవడం లేదా బ్లాక్ చేయడం చక్కగా కనిపించే కానీ తప్పైన జాబితాను ఉత్పత్తి చేస్తుంది.
కాబట్టి బయట నుండి కనిపించే ఉపరితలం మూడు విషయాల కలయిక: వినిపించే సాకెట్లు, వాటిని తిరిగి ప్రచురించే ఫార్వార్డింగ్ నియమాలు, మరియు హోస్ట్ ముందు ఉన్న నెట్వర్క్ నియంత్రణలు. మొదటిదాన్ని మాత్రమే నమోదు చేసే ఏ జాబితా అయినా అసంపూర్ణం, మరియు మొదటిదాన్ని మాత్రమే పరిగణించే ఏ మార్పు అయినా మార్గాన్ని తెరిచి ఉంచుతుంది లేదా సేవను కత్తిరిస్తుంది.
ఏదైనా మార్పు తర్వాత ధృవీకరించండి
మద్దతు ఉన్న కాన్ఫిగరేషన్ యజమాని ద్వారా శ్రోత సెట్టింగ్లను మార్చండి మరియు అలా చేస్తున్నప్పుడు రికవరీ కన్సోల్ తెరిచి ఉంచండి. రిమోట్ హోస్ట్లో వెబ్ ఇంటర్ఫేస్కు పరిపాలనా ప్రవేశాన్ని కోల్పోవడం మీరు ఇప్పుడే నిష్క్రియం చేసిన VPN ద్వారా పునరుద్ధరించబడదు.
తర్వాత అమరికకు సాధారణంగా అవసరమైన నాలుగు విషయాలను ధృవీకరించండి: VPN క్లయింట్ కనెక్ట్ అవుతుంది, క్లయింట్ పోర్టల్ లోడ్ అవుతుంది, పరిపాలనా ప్రవేశం పనిచేస్తుంది, మరియు ఒకటి కంటే ఎక్కువ నోడ్లను నడిపిస్తే క్లస్టర్ కమ్యూనికేషన్ ఇంకా పనిచేస్తుంది. VPN-మాత్రమే పరీక్ష పోర్టల్ పాడైనప్పుడు కూడా సౌకర్యంగా ఉత్తీర్ణమవుతుంది.
ప్రతి సేవకు అనుమతించిన మార్గాన్ని రాసి ముగించండి: ఏ సాకెట్, ఏ బైండ్, ఏ ఫార్వార్డింగ్ నియమం, ఏ నెట్వర్క్ నియంత్రణ. ఆ పత్రమే ఉపయోగకరమైన భద్రతా అవుట్పుట్. కనీస సాకెట్ సంఖ్య కాదు, ఎవరూ గుర్తింపును పూర్తి చేయని శ్రోతలను మూసే సామూహిక రీసెట్ కూడా కాదు.