VPN üzərindən rsync: daemon portu 873 və SSH rejimi

Tunel interfeysində TCP 873-ə icazə vermək rsync-i OpenVPN, və qarşı tərəfin modulu qəbul etməsinə də səbəb olmur. Tunel daxili bağlantı daşıyır; onun protokol və təyinat qaydaları əvvəlki kimi qalır. Odur ki, ilk sual hansı portun açılacağı deyil, rsync-in hansı bağlantı növünü qurduğudur. Aşağıdakıların hamısı tunelin artıq qalxdığını və yalnız daxili xidmətin şübhəli qaldığını qəbul edir.

rsync-in həqiqətən hansı bağlantını qurduğunu müəyyənləşdirin

Əmrdəki uzaq arqument adətən bu suala hər hansı firewall dəyişikliyindən əvvəl cavab verir. İkiqat iki nöqtə və ya URL sxemi daemon-u seçir, host adından sonra tək iki nöqtə isə uzaq shell seçir. Sənədləşmə nümunəsindəki arqumenti deyil, həqiqətən işlətdiyiniz arqumenti oxuyun.

Açıq uzaq-shell seçimi cavabı yenidən dəyişə bilər, çünki rsync-ə nəqliyyat üçün hansı proqramı başladacağını deyir. Yalnız host hissəsini deyil, miras alınan wrapper skriptləri də daxil olmaqla bütün əmr sətrini oxuyun.

Daemon rejimi: bağlama ünvanı, modul və port

Daemon sintaksisində yol seqmenti diskdəki kataloqu deyil, konfiqurasiya edilmiş modulu adlandırır. Modul parolu yalnız bağlantı qəbul edildikdən sonra yoxlanılır və modul əlavə olaraq yalnız-oxuna bilər və ya siyahıdan gizlədilə bilər. Bu ardıcıllıq xəta oxuyarkən vacibdir, çünki rədd edilmiş bağlantı və rədd edilmiş modul iki fərqli mərhələdə uğursuzluqdur. Heç bir mesaj tunelin özü haqqında heç nə demir.

Müstəqil daemon öz konfiqurasiya faylında tunel ünvanına bağlana bilər, bu da onu heç bir firewall qaydası olmadan ictimai interfeysdən kənarda saxlayır. Dəyər daemon bağlanarkən mövcud olmalıdır və socket ilə aktivləşdirilən və ya inetd ilə idarə olunan dinləyici onu tamamilə nəzərə almaya bilər.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Sonra ictimai ad üzrə deyil, özəl ünvan üzrə sınaqdan keçirin. İctimai host adı WAN ünvanına çevrilir və fərqli yol tutur, hətta bir maşın hər ikisinə cavab verdikdə belə.

rsync --list-only rsync://10.44.0.1/archive/

Uzaq-shell rejimi: yükləməni SSH daşıyır

Tək iki nöqtə ilə rsync uzaq-shell proqramı başladır və öz protokolunu həmin kanal üzərindən danışır, buna görə əlçatan yeganə xidmət serverin dinlədiyi portdakı SSH-dir. rsync daemon heç vaxt işləmir, 873 portu əhəmiyyətsizdir və giriş qərarı SSH hesabı qərarına çevrilir. Uzaq yol daha sonra qarşı tərəfdəki shell-in şərh etdiyi real fayl sistemi yoludur. Buna görə 873-ə yönəlmiş firewall dəyişikliyi bu rejim üçün heç bir şey etmir.

Bu dizayn səlahiyyətli hesab və host açarının yoxlanmasını, həmçinin SSH-in öz autentifikasiya siyasətini miras alır. Nəqliyyat etibarsız şəbəkədən keçməlidirsə, bu çox vaxt daha yaxşı seçimdir, çünki şifrələmə bunun üçün qurulmuş protokola aiddir. Parol soruşan daemon isə tamam başqa şeydir.

Yalnız seçdiyiniz yolu açın

Rejim müəyyənləşdikdən sonra tuneli daşıyan tək interfeysdə tək daxili xidmətə icazə verin. Qaydayı interfeys, mənbə hovuzu və təyinat ünvanı ilə məhdudlaşdırın ki, sonrakı standart-rədd dəyişikliyi onu səssizcə genişləndirə bilməsin. Sonra qayda sırasını nəzərdən keçirin, çünki zəncirdə daha əvvəlki icazəli qayda dar qaydanı bəzək edir.

Daemon VPN şlüzünün özündə deyil, onun arxasındakı maşında işləyirsə, şlüzün də yönləndirmə yolu olmalıdır və hədəfin öz icazəsi və qayıdış marşrutu lazımdır. Portu yalnız şlüzdə açmaq qəbul edilən, sonra heç yerə getməyən bağlantı yaradır.

Müştəridən istehsalda istifadə etmək istədiyiniz rejim və təyinatla yoxlayın. Uğurlu siyahı dinləyicini, marşrutu və qaydanı birlikdə sübut edir; fasilə yola işarə edir, imtina isə dinləyiciyə.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873