OpenVPN Access Server aslida qaysi portlarda tinglaydi?

Siz ss -lntup buyrug‘ini Access Server xostida ishga tushirasiz va kutilganidan ikki baravar uzun ro‘yxat olasiz. Yozuvlarning yarmi o‘rnatish paytida hech kim tilga olmagan daemon shaklidagi portlar. Refleks 443 yoki 1194 bo‘lmagan hamma narsani yopishdir va odamlar o‘z mijoz portallarini shunday buzadilar.

Access Server bitta tinglovchi emas. Bu VPN xizmati, veb-xizmat va klaster ishtirokchisi bo‘lib, sozlangan TCP daemonlar soniga qarab qo‘shimcha daemonga xos portlar va xavfsizlik devori yo‘naltirishlarini yaratishi mumkin.

Ro‘yxatni tartib bilan ko‘zdan kechiring: soketlarni o‘qing, tanishlarini xaritalang, qolganlarini egasi va bog‘lanishi bo‘yicha tasniflang, so‘ng ularni aslida nima e’lon qilayotganini tekshiring.

Bitta faqat-o‘qish buyrug‘idan boshlang

sudo ss -lntup har bir tinglayotgan soket uchun transport, mahalliy manzil, port va egasi jarayonni beradi. Bayroqlar muhim: -l tinglash, -n raqamli, -t TCP, -u UDP, -p jarayon. root bo‘lmasa soketlarni olasiz, lekin jarayon nomlarini olmaysiz, tasniflash uchun aynan shu ustun kerak.

Har qanday fikr shakllantirishdan oldin har bir satr uchun to‘rtta maydonni yozib oling: protokol, bog‘lanish manzili, port va buyruq. Access Server versiyasi va sozlangan daemonlar sonini shu ro‘yxat yonida saqlang, chunki ikkalasi ham kutilgan narsani o‘zgartiradi.

Bir xil ko‘rinadigan ikki satr bir xil emas. Bir xil raqamdagi TCP va UDP alohida ta’sirga ega alohida soketlar, va 0.0.0.0 va :: alohida manzil oilalari uchun alohida bog‘lanishlar. Faqat 127.0.0.1 manziliga bog‘langan xizmat boshqa xostdan to‘g‘ridan-to‘g‘ri yetib bo‘lmaydi, garchi mahalliy yo‘naltirish uni hali ham e’lon qilishi mumkin.

Siz tanib olishingiz kerak bo‘lgan tinglovchilar

Bu standart qiymatlar ko‘pchilik joylashtirishlarni qamrab oladi va taqqoslash uchun asos beradi. Bu standart qiymatlar, to‘liq ruxsat ro‘yxati emas.

Bundan narigi har bir narsa tushuntirishni talab qiladi, taxminni emas. Mahsulot o‘zi uchun o‘rnatadigan komponentlarga tegishli faqat-mahalliy tinglovchilarni tez-tez ko‘rasiz. Ularni eslab qolingan port raqami o‘rniga PID va xizmat konfiguratsiyasi bilan tasdiqlang, va noma’lum portni faqat noma’lumligi uchun dushman deb hisoblamang.

Tanish juftlikdan tashqari soket ham avtomatik ravishda qoldiq emas. Bir nechta TCP daemon sozlanganda, Access Server har bir daemon uchun tinglovchilar yaratadi va trafikni ularga yo‘naltiradi, shuning uchun ularning soni va port qiymatlari shu konfiguratsiyaga amal qiladi.

Biror narsani yopishdan oldin tasniflang

Har bir noaniq satr uchun shu tartibda uch savolga javob bering.

1. Egasi va maqsadi. PIDni birlik yoki jarayon bilan moslang va o‘sha xizmat konfiguratsiyasini o‘qing. Agar egasini nomlay olmasangiz, soket haqida biror narsa qaror qilishga tayyor emassiz.
2. Bog‘lanish doirasi. Loopback nom maydoniga mahalliy. Wildcard bog‘lanish faqat marshrutlash, xost filtrlash va bulut darajasidagi har qanday qoidalar ruxsat bergan taqdirda yetib boriladi, shuning uchun bog‘lanish manzili zarur, lekin yetarli emas. IPv4 va IPv6ni alohida qarorlar sifatida tekshiring.
3. E’lon qilingan yo‘l. Xizmat yo‘naltirishini, daemonga xos yo‘naltirishlarni, tashqi proksi va samarali xavfsizlik devori siyosatini qidiring. Odamlar tashlab ketadigan qadam shu, va zararsiz ko‘rinadigan backend portni yetib bo‘ladigan ma’muriy yo‘lga aylantiradigan ham shu.

Xuddi shu savol xostdan tashqarida boshqacha o‘qiladi. Xost xavfsizlik devori qoidasi bo‘lmagan portni bulut xavfsizlik guruhi baribir yopishi mumkin, va ruxsat beruvchi xost qoidasi bo‘lgan port unga hech narsa marshrutlanmagani uchun yetib bo‘lmaydigan bo‘lishi mumkin. Ro‘yxat xulosasini yozishdan oldin ikkala chetini ko‘ring.

E’lon qilingan yo‘l soketlar ro‘yxatidan qayerda farq qiladi

Access Serverning o‘z hujjatlari eng ko‘p chalkashlik keltiradigan holatni qamrab oladi: bir nechta TCP daemon ishlaganda oldingi port daemonga xos portlarga yo‘naltiradi va ko‘rinadigan tartib soketlar ro‘yxatiga mos kelmay qo‘yadi. veb-interfeysni filtrlash bo‘yicha qo‘llanma o‘sha qoidalarni va faqat aniq port uchun yozilgan filtr yo‘naltirilgan yo‘lni butunlay o‘tkazib yuborishi mumkinligini tushuntiradi.

Klaster boshqaruvi versiya muhim bo‘lgan ikkinchi joy. 3.0 va undan yangiroqlarda u 943ni baham ko‘radi; eski klaster konfiguratsiyalari 945dan foydalangan. Versiyani tekshirmasdan ulardan birini ochish yoki bloklash tartibli ko‘rinadigan, ammo noto‘g‘ri ro‘yxat hosil qiladi.

Demak, tashqaridan ko‘rinadigan yuza uch narsaning birlashmasi: tinglayotgan soketlar, ularni qayta e’lon qiluvchi yo‘naltirish qoidalari va xost oldidagi tarmoq boshqaruvlari. Faqat birinchisini qayd etadigan har qanday ro‘yxat to‘liq emas, va faqat birinchisini hisobga oladigan har qanday o‘zgarish yo‘lni ochiq qoldiradi yoki xizmatni uzib qo‘yadi.

Har qanday o‘zgarishdan keyin tekshiring

Tinglovchi sozlamalarini qo‘llab-quvvatlanadigan konfiguratsiya egasi orqali o‘zgartiring va buni qilayotganda tiklash konsolini ochiq tuting. Uzoq xostdagi veb-interfeysga ma’muriy kirishni yo‘qotish siz hozir o‘chirib qo‘ygan VPN orqali tiklanmaydi.

So‘ng joylashtirishga odatda kerak bo‘ladigan to‘rtta narsani tekshiring: VPN mijozi ulanadi, mijoz portali yuklanadi, ma’muriy kirish ishlaydi va birdan ortiq tugun ishlatsangiz klaster aloqasi hali ham ishlaydi. Faqat-VPN sinovi portal buzilgan paytda ham bemalol o‘tadi.

Har bir xizmat uchun ruxsat etilgan yo‘lni yozib tugating: qaysi soket, qaysi bog‘lanish, qaysi yo‘naltirish qoidasi, qaysi tarmoq boshqaruvi. O‘sha hujjat foydali xavfsizlik natijasidir. Eng kam soket soni emas, va hech kim identifikatsiyani tugatmagan tinglovchilarni yopadigan ommaviy qayta o‘rnatish ham emas.