OpenVPN Access Server gerçekte hangi portlarda dinliyor?
Access Server ana bilgisayarındaki soket listesini inceleyin: varsayılan dinleyicileri tanıyın, loopback ile yayımlanan portları ayırın ve bir portu kapatmadan önce yönlendirmeyi doğrulayın.
Şu komutu çalıştırıyorsunuz: ss -lntup ve bir Access Server ana bilgisayarında beklenenin iki katı uzunlukta bir liste alıyorsunuz. Girdilerin yarısı kurulum sırasında kimsenin bahsetmediği daemon biçimli portlar. Refleks, 443 veya 1194 olmayan her şeyi kapatmaktır ve insanlar kendi müşteri portallarını tam olarak böyle bozarlar.
Access Server tek bir dinleyici değildir. Bir VPN hizmeti, bir web hizmeti ve bir küme katılımcısıdır ve yapılandırdığınız TCP daemon sayısına bağlı olarak ek daemona özgü portlar ve güvenlik duvarı yönlendirmeleri oluşturabilir.
Envanteri sırayla inceleyin: soketleri okuyun, bildiklerinizi eşleyin, geri kalanını sahibe ve bağlamaya göre sınıflandırın, sonra onları gerçekte neyin yayımladığını kontrol edin.
Tek bir salt okunur komutla başlayın
sudo ss -lntup her dinleyen soket için taşıma, yerel adres, port ve sahip süreci verir. Bayraklar önemlidir: -l dinleme, -n sayısal, -t TCP, -u UDP, -p süreç. root olmadan soketleri alırsınız ama süreç adlarını almazsınız ve sınıflandırma için tam olarak o sütun gerekir.
Herhangi bir görüş oluşturmadan önce her satır için dört alan kaydedin: protokol, bağlama adresi, port ve komut. Access Server sürümünü ve yapılandırılmış daemon sayısını bu listenin yanında tutun, çünkü ikisi de bekleneni değiştirir.
Aynı görünen iki satır aynı değildir. Aynı numaradaki TCP ve UDP ayrı maruziyete sahip ayrı soketlerdir ve 0.0.0.0 ve :: ayrı adres aileleri için ayrı bağlamalardır. Yalnızca 127.0.0.1 adresine bağlı bir hizmet başka bir ana bilgisayardan doğrudan erişilebilir değildir, ancak yerel bir yönlendirme onu yine de yayımlayabilir.
Tanımanız gereken dinleyiciler
Bu varsayılanlar çoğu kurulumu kapsar ve karşılaştırma için bir temel verir. Bunlar varsayılanlardır, tam bir izin listesi değildir.
| Socket | Role to confirm |
|---|---|
| UDP 1194 | OpenVPN UDP tunnel listener |
| TCP 443 | OpenVPN TCP listener, optionally forwarded to the web service |
| TCP 943 | Admin and client web interfaces, and cluster control in Access Server 3.0 and later |
| TCP 945 | Cluster control in older configurations that predate the move to 943 |
Bunun ötesindeki her şey açıklama gerektirir, varsayım değil. Ürünün kendisi için kurduğu bileşenlere ait yalnızca yerel dinleyicileri sık sık görürsünüz. Bunları akılda kalan bir port numarası yerine PID ve hizmet yapılandırmasıyla doğrulayın ve bilinmeyen bir portu yalnızca bilinmediği için düşman saymayın.
Bilinen çiftin dışındaki bir soket de otomatik olarak artık değildir. Birden çok TCP daemon yapılandırıldığında Access Server her daemon için dinleyici oluşturur ve trafiği onlara yönlendirir, bu nedenle sayıları ve port değerleri bu yapılandırmayı izler.
Herhangi bir şeyi kapatmadan önce sınıflandırın
Her belirsiz satır için üç soruyu bu sırayla yanıtlayın.
- Sahip ve amaç. PID'i bir birim veya süreçle eşleştirin ve o hizmetin yapılandırmasını okuyun. Sahibi adlandıramıyorsanız, soket hakkında herhangi bir karar vermeye hazır değilsiniz.
- Bağlama kapsamı. Loopback ad alanına özgüdür. Wildcard bağlaması yalnızca yönlendirme, ana bilgisayar filtreleme ve bulut düzeyindeki olası kurallar izin verirse erişilebilir, bu nedenle bağlama adresi gereklidir ama yeterli değildir. IPv4 ve IPv6'yı ayrı kararlar olarak kontrol edin.
- Yayımlanan yol. Hizmet iletimini, daemona özgü yönlendirmeleri, harici bir proxy'yi ve etkin güvenlik duvarı politikasını arayın. İnsanların atladığı adım budur ve zararsız görünen bir backend portunu erişilebilir bir yönetim yoluna dönüştüren de odur.
Aynı soru ana bilgisayarın dışından farklı okunur. Ana bilgisayar güvenlik duvarı kuralı olmayan bir port yine de bir bulut güvenlik grubu tarafından kapatılabilir ve izin verici ana bilgisayar kuralı olan bir port, ona hiçbir şey yönlendirilmediği için erişilemez olabilir. Envanterin sonucunu yazmadan önce iki uca da bakın.
Yayımlanan yolun soket listesinden farklı olduğu yer
Access Server'ın kendi belgeleri en çok karışıklığa yol açan durumu kapsar: birkaç TCP daemon çalıştığında ön port daemona özgü portlara iletir ve görünen düzen soket listesiyle uyuşmayı bırakır. web arayüzü filtreleme eğitimi bu kuralları ve yalnızca bariz port için yazılmış bir filtrenin yönlendirilen yolu tamamen kaçırabilmesinin nedenini açıklar.
Küme denetimi sürümün önemli olduğu ikinci yerdir. 3.0 ve sonrasında 943'ü paylaşır; daha eski küme yapılandırmaları 945 kullanıyordu. Sürümü kontrol etmeden bunlardan birini açmak veya engellemek düzenli görünen ve yanlış bir envanter üretir.
Yani dışarıdan görünen yüzey üç şeyin birleşimidir: dinleyen soketler, onları yeniden yayımlayan yönlendirme kuralları ve ana bilgisayarın önündeki ağ denetimleri. Yalnızca birincisini kaydeden her envanter eksiktir ve yalnızca birincisini dikkate alan her değişiklik ya bir yolu açık bırakır ya da bir hizmeti keser.
Her değişiklikten sonra doğrulayın
Dinleyici ayarlarını desteklenen yapılandırma sahibi üzerinden değiştirin ve bunu yaparken bir kurtarma konsolunu açık tutun. Uzak bir ana bilgisayardaki web arayüzüne yönetici erişimini kaybetmek, az önce devre dışı bıraktığınız VPN ile geri kazanılamaz.
Ardından bir kurulumun genellikle ihtiyaç duyduğu dört şeyi doğrulayın: bir VPN istemcisi bağlanır, müşteri portalı yüklenir, yönetici erişimi çalışır ve birden fazla düğüm çalıştırıyorsanız küme iletişimi hâlâ çalışır. Yalnızca VPN testi, portal bozukken bile rahatça geçer.
Her hizmet için izin verilen yolu yazarak bitirin: hangi soket, hangi bağlama, hangi yönlendirme kuralı, hangi ağ denetimi. O belge yararlı güvenlik çıktısıdır. Asgari soket sayısı değildir ve kimsenin tanımlamayı bitirmediği dinleyicileri kapatan toplu sıfırlama da değildir.