SSH op afstand oor 'n VPN: wat die tonnel nie doen nie
'n VPN maak 'n SSH-bediener bereikbaar en niks meer nie. Drie voorwaardes bepaal of dit pas, en die mislukte stadium wys watter laag skuldig is.
A VPN gee 'n SSH-bediener 'n private pad en verwyder die noodsaak vir 'n openbare luisteraar op poort 22. Dit verifieer nie die gasheer nie, magtig nie die gebruiker nie en besluit nie watter rekeninge mag aanmeld nie. Dit bly SSH se werk. Of 'n VPN die regte manier is om die bediener te bereik, hang van drie voorwaardes af, en die tonnel is slegs een van die moontlike antwoorde.
Wat die tonnel verander en wat SSH steeds besluit
Die tonnel verander bereikbaarheid: watter adresse bereik kan word, en van waar. Dit verander nie wat gebeur nadat die TCP-verbinding land nie, waar die bediener 'n gasheersleutel aanbied en 'n gebruikersidentiteit vra.
Hou die twee lae apart in jou kop en in jou dokumentasie. 'n VPN-aanmelding bewys wie die netwerk mag gebruik. Dit sê niks oor watter rekeninge op die teiken bestaan nie, en dit is nie toestemming om by elke bereikbare masjien aan te meld nie.
Die mislukkingsmodusse is ook apart, en dit is wat die skeiding tydens 'n voorval nuttig maak.
Drie voorwaardes wat die toegangsmodel bepaal
Eerstens, moet die bediener bereikbaar wees vir mense buite jou netwerk? Indien nie, is 'n private pad plus 'n bastion of 'n maas die kleiner ontwerp. Tweedens, kan die kliëntpopulasie werklik die VPN-kliënt gebruik, insluitend diegene op bestuurde toestelle met beperkings?
Derdens, het jy beheer per diens of beheer per gebruiker nodig? 'n VPN verleen netwerkbereik; SSH verleen rekeningtoegang. As die vereiste is dat 'n kontrakteur een gasheer bereik en niks anders nie, is dit 'n magtigingsvereiste en die tonnel alleen kan dit nie uitdruk nie.
Antwoord daardie drie en die model kies homself. Slaan dit oor en jy eindig deur SSH in die openbaar bloot te stel om die kliënt-uitrol te vermy.
Bevestig die private pad voordat jy SSH blameer
Verbind die goedgekeurde VPN en gebruik die teiken se gedokumenteerde private naam of adres. Kontroleer dan die gekose roete, die gateway se toestemming en die terugpad na die kliënt. 'n Naam wat korrek opgelos word, is nie 'n bewys dat die adres die bedoelde tonnel neem nie, want oorvleuelende plaaslike en afgeleë voorvoegsels kan die versoek heeltemal elders stuur. Daardie onderskeid is die moeite werd om in die runbook te skryf.
As die verbinding nooit land nie, bevestig dat die bediener op die koppelvlak luister wat jy verwag en dat sy gasheer-firewall die bron toelaat wat hy werklik sien. 'n Gateway-NAT kan daardie bron herskryf, so 'n toelatingslys wat vir die kliënt se tonneladres geskryf is, sal dalk nooit pas nie.
Daardie wanverhouding is die mees algemene selfveroorsaakte SSH-fout oor 'n VPN.
Lees die mislukte stadium, nie die gekombineerde fout nie
Drie stadiums lewer drie verskillende boodskappe, en slegs een daarvan gaan oor geloofsbriewe.
| Stage | What you see | What it points at |
|---|---|---|
| Before the connection | Timeout, no route | Tunnel, route or gateway permission |
| Connection refused | Immediate reset | Nothing listening, or a host firewall rejecting |
| Authentication | Permission denied after a prompt | User, key or server policy |
Gebruik die presiese fout en die bediener se eie log eerder as om beide VPN- en SSH-geloofsbriewe saam te herstel. Om albei te herstel is hoe 'n diagnose van vyf minute 'n identiteitsvoorval van twee dae word.
Uitgebreide uitvoer wys watter stadium jy bereik het:
ssh -vv [email protected]Hou gasheersleute en magtiging ongeskonde
Valideer die gasheersleutel deur die bedoelde vertroude proses, veral ná 'n bedienervervanging. 'n Onverwagte waarskuwing oor 'n veranderde sleutel is die een boodskap wat jy nie mag ignoreer net omdat die VPN gekonnekteer het nie, want 'n private tonnel maak nie die bestemming die masjien wat jy dink dit is nie. Kontroleer die vingerafdruk teen 'n bron wat jy onafhanklik van die verbinding vertrou.
Bevestig aan die bedienerkant dat die rekening gemagtig is en dat die verifikasiemetode wat jy ingestel het, die een is wat aangebied word. 'n Sleutel wat teenwoordig is maar geïgnoreer word, is gewoonlik 'n toestemmings- of konfigurasieprobleem eerder as 'n netwerkprobleem.
Beperk diens toegang tot die vereiste identiteite en hou 'n gemagtigde herstelpad vir netwerkveranderinge.