Aling mga port ang talagang pinakikinggan ng OpenVPN Access Server?

Pinapatakbo mo ang ss -lntup sa isang host ng Access Server at nakakakuha ng listahang doble ang haba sa inaasahan. Kalahati ng mga entry ay mga port na hugis-daemon na walang binanggit noong setup. Ang reaksyon ay isara ang lahat ng hindi 443 o 1194, at ganoon sinisira ng mga tao ang sarili nilang portal ng kliyente.

Ang Access Server ay hindi isang tagapakinig. Ito ay isang serbisyong VPN, isang serbisyong web at isang kalahok sa cluster, at makakabuo ito ng karagdagang mga port na partikular sa daemon at mga pag-redirect ng firewall depende sa kung ilang daemon ng TCP ang na-configure mo.

Suriin ang imbentaryo nang sunod-sunod: basahin ang mga socket, i-map ang mga pamilyar, uriin ang natitira ayon sa may-ari at binding, at pagkatapos ay tiyakin kung ano talaga ang naglalathala sa kanila.

Magsimula sa isang utos na basahin lamang

sudo ss -lntup ay nagbibigay ng transport, lokal na address, port at prosesong may-ari para sa bawat socket na nakikinig. Mahalaga ang mga flag: -l nakikinig, -n numeriko, -t TCP, -u UDP, -p proseso. Kung walang root makukuha mo ang mga socket ngunit hindi ang mga pangalan ng proseso, at iyon ang eksaktong column na kailangan mo para sa pag-uuri.

Itala ang apat na field bawat hilera bago bumuo ng anumang opinyon: protocol, address ng binding, port at utos. Itago ang bersyon ng Access Server at ang na-configure na bilang ng daemon sa tabi ng listahang iyon, dahil pareho nilang binabago ang inaasahan.

Dalawang hilerang magkamukha ay hindi pareho. Ang TCP at UDP sa parehong numero ay magkahiwalay na socket na may magkahiwalay na pagkalantad, at 0.0.0.0 at :: ay magkahiwalay na binding para sa magkahiwalay na pamilya ng address. Ang serbisyong nakatali lamang sa 127.0.0.1 ay hindi direktang maabot mula sa ibang host, bagaman maaari pa ring ilathala ito ng lokal na redirect.

Ang mga tagapakinig na dapat mong makilala

Ang mga default na ito ay sumasaklaw sa karamihan ng deployment at nagbibigay ng batayan para sa paghahambing. Ang mga ito ay default, hindi isang kumpletong listahan ng pinapayagan.

Lahat ng higit pa riyan ay nangangailangan ng paliwanag, hindi haka-haka. Madalas mong makikita ang mga lokal-lamang na tagapakinig na pag-aari ng mga bahaging ini-install ng produkto para sa sarili nito. Tiyakin ang mga ito sa pamamagitan ng PID at configuration ng serbisyo sa halip na isang naaalalang numero ng port, at huwag ituring na kaaway ang isang hindi kilalang port dahil lamang hindi ito kilala.

Ang socket sa labas ng pamilyar na pares ay hindi rin awtomatikong labi. Kapag maraming daemon ng TCP ang na-configure, gumagawa ang Access Server ng tagapakinig bawat daemon at inililipat doon ang trapiko, kaya sinusunod ng kanilang bilang at mga halaga ng port ang configuration na iyon.

Uriin bago isara ang anuman

Para sa bawat hindi tiyak na hilera, sagutin ang tatlong tanong sa ganitong pagkakasunod-sunod.

1. May-ari at layunin. Itugma ang PID sa isang unit o proseso at basahin ang configuration ng serbisyong iyon. Kung hindi mo maipangalan ang may-ari, hindi ka pa handa na magpasya ng anuman tungkol sa socket.
2. Saklaw ng binding. Ang loopback ay lokal sa namespace. Ang wildcard na binding ay maaabot lamang kung papayagan ito ng routing, pag-filter ng host at anumang panuntunan sa antas ng cloud, kaya kailangan ang address ng binding ngunit hindi sapat. Suriin ang IPv4 at IPv6 bilang magkahiwalay na desisyon.
3. Nailathalang landas. Hanapin ang forwarding ng serbisyo, mga redirect na partikular sa daemon, isang panlabas na proxy at ang epektibong patakaran ng firewall. Ito ang hakbang na nilalaktawan ng mga tao, at ito ang nagpapalit ng isang backend port na tila walang pinsala tungo sa isang maaabot na landas pang-administrasyon.

Ang parehong tanong ay binabasa nang iba mula sa labas ng host. Ang isang port na walang panuntunan ng firewall ng host ay maaari pa ring isara ng isang cloud security group, at ang isang port na may mapagbigay na panuntunan ng host ay maaaring hindi maabot dahil walang nagru-ruta patungo rito. Tingnan ang dalawang dulo bago isulat ang konklusyon ng imbentaryo.

Kung saan naiiba ang nailathalang landas sa listahan ng socket

Ang sariling dokumentasyon ng Access Server ay sumasaklaw sa kaso na pinakamaraming nagdudulot ng kalituhan: kapag maraming daemon ng TCP ang tumatakbo, ang harapang port ay nag-forward sa mga port na partikular sa daemon, at ang nakikitang layout ay hindi na tumutugma sa listahan ng socket. Ang tutorial sa pag-filter ng web interface ay naglalarawan ng mga panuntunang iyon at kung bakit ang isang filter na isinulat lamang para sa halatang port ay maaaring lubos na makaligtaan ang na-redirect na landas.

Ang kontrol ng cluster ay ang pangalawang lugar kung saan mahalaga ang bersyon. Mula sa 3.0 ibinabahagi nito ang 943; ginamit ng mas lumang configuration ng cluster ang 945. Ang pagbubukas o pag-block ng isa sa kanila nang hindi sinusuri ang bersyon ay gumagawa ng imbentaryong mukhang maayos at mali.

Kaya ang panlabas na nakikitang ibabaw ay ang pagsasama ng tatlong bagay: mga socket na nakikinig, mga panuntunan ng forwarding na muling naglalathala sa kanila at ang mga kontrol ng network sa harap ng host. Anumang imbentaryong nagtatala lamang ng una ay hindi kumpleto, at anumang pagbabagong isinasaalang-alang lamang ang una ay mag-iiwan ng landas na bukas o puputol ng serbisyo.

Tiyakin pagkatapos ng anumang pagbabago

Baguhin ang mga setting ng tagapakinig sa pamamagitan ng sinusuportahang may-ari ng configuration at panatilihing bukas ang recovery console habang ginagawa ito. Ang pagkawala ng administratibong access sa isang web interface sa isang remote host ay hindi maibabalik sa pamamagitan ng VPN na pinatay mo lang.

Pagkatapos, patunayan ang apat na bagay na karaniwang kailangan ng deployment: kumokonekta ang isang kliyente ng VPN, naglo-load ang portal ng kliyente, gumagana ang administratibong access, at gumagana pa rin ang komunikasyon ng cluster kung nagpapatakbo ka ng higit sa isang node. Ang pagsubok na VPN lamang ay komportableng pumapasa habang sira ang portal.

Tapusin sa pamamagitan ng pagsulat ng pinapayagang landas para sa bawat serbisyo: aling socket, aling binding, aling panuntunan ng forwarding, aling kontrol ng network. Ang dokumentong iyon ang kapaki-pakinabang na output ng seguridad. Ang pinakamababang bilang ng socket ay hindi, at gayundin ang isang malawakang pag-reset na nagsasara ng mga tagapakinig na wala pang natapos na makilala.