Bu zaiflik topilmasi qaysi VPN jarayoniga tegishli?

Skaner natijasi manzil, port va u yerda kelishilgan narsani nomlaydi. U bu soket orqasidagi jarayonni nomlamaydi, VPN xostida esa bir nechta jarayon mashinani bo‘lishishi mumkin, ammo ulardan faqat bittasi tunnel bo‘ladi. Yon yordamchi dasturdan versiya satrini o‘qish yoki diskda kutubxona faylini topish xost haqida dalil qo‘shadi, tinglovchi haqida emas. Topilma faqat bitta ishlayotgan komponentga bog‘lanib, keyin e’lon haqiqatan ko‘rsatgan doira bilan solishtirilganda amalga oshiriladigan bo‘ladi.

Tartib muhim: birinchi komponent, ikkinchi e’lon, uchinchi tuzatish.

Hisobot portni nomlaydi, dasturni emas

Haqiqatan baholangan yakuniy nuqtadan boshlang. HTTPS boshqaruv portiga qarshi tekshiruv veb xizmatni, uning TLS stekini va oldidagi har qanday proksi-serverini o‘lchadi; boshqa portdagi OpenVPN yoki WireGuard tinglovchisi haqida hech narsa o‘rganmadi. Teskari proksilar va boshqaruv agentlari buni yanada yomonlashtiradi, chunki sertifikat va banner old qismga tegishli bo‘lishi mumkin, zaif kutubxona esa uning orqasida orqa fon jarayonida turadi.

Manzil, transport, port va xizmat nomini natija bilan birga yozib qo‘ying, doira topilma bilan birga yursin.

Ishlayotgan build aslida nima

Umumiy maqsaddagi xostda o‘rnatilgan paket va yuklangan kutubxona ikki alohida savoldir. Paketlar bazasi tuzatilgan versiyani ko‘rsatishi mumkin, uzoq ishlayotgan demon esa eski umumiy obyektni hali ham xotirada ushlab turadi, va birlashtirilgan qurilma obrazi hech bir paket menejeri xabar bermaydigan o‘z kutubxonalarini olib yurishi mumkin. Xizmat menejeridan nima ishlayotganini so‘rang, so‘ng jarayon va uning ulanishlarini tekshiring.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Jarayonlar ro‘yxatidagi boshlanish vaqti odamlar o‘tkazib yuboradigan tafsilotdir. Oxirgi paket yangilanishidan oldin boshlangan demon hali ham yuklash paytida yuklagan buildni ishlatadi, va bu aynan inventar tuzatilgan deb, soket esa boshqacha aytadigan holat.

Buildni e’lon doirasiga moslash

E’lonlar mahsulotlar, versiyalar va ba’zan talab qilinadigan shartlarni tasvirlaydi, va bu uch maydon har doim paket versiyasiga mos kelavermaydi. OpenVPNning 2014 yil apreldagi Heartbleed e’loni foydali tarixiy misoldir, chunki u ta’sirlangan Access Server nashrlarini turli ta’sirga ega veb xizmatlar va VPN demonlaridan ajratadi. Saboq OpenSSL so‘zini shablon bo‘yicha moslash o‘rniga matn qaysi komponentni qamrab olishini o‘qishdir.

Bu e’lon ham eskirgan. Uning tuzatilgan nashr raqamlari endi o‘rnatish bo‘yicha maslahat emas, va 2014 yilda tuzatilgan nuqson bugun siz ishlatayotgan tarmoqdagi keyingi muammolar haqida hech narsa demaydi.

Kelishmovchilikni hal qilish, so‘ng ta’sirni yopish

Inventar va baholash kelishmasa, ikkalasi ham bir xil yakuniy nuqta va bir xil ish muhitini tasvirlaydimi, tekshiring: boshqa manzil, old proksi, ikkinchi xizmat, portga hali bog‘langan eski jarayon yoki paket menejeri hech qachon ko‘rmagan birlashtirilgan kutubxona. Hisobotni qayta yozishdan oldin buni chegarada hal qiling.

Qo‘llab-quvvatlanadigan tuzatishni qo‘llang, ta’sirlangan xizmatni qayta ishga tushiring va yangi build hozir ishlayotganini tasdiqlang. Diskda tuzatilgan fayl bo‘lsa-da eski jarayon hali ham trafikni xizmat qilsa, bu tuzatish emas.

Keyin komponent ta’sir oynasida saqlashi mumkin bo‘lgan narsalar bilan shug‘ullaning. Yamoqlash va hisob ma’lumotlarini almashtirish turli savollarga javob beradi, va ta’sirlangan xost yaqinida saqlangan sertifikat o‘z-o‘zidan oqib chiqqan narsalar ro‘yxati emas. Hodisa egasining bekor qilish, sessiyalarni olib tashlash va mijozlarni yangilash tartibiga rioya qiling va qaysi komponent ta’sirlangani, dalillar nima uchun tegishli bo‘lgani va uni nima yopganini yozib qo‘ying. Keyingi ko‘rib chiqish aynan shu yozuvni o‘qiydi.