Mənbə portu qaydası SSH yollarınızdan birini niyə pozur

Bir hostda iki idarəetmə girişi, bir xidmət portu və hər ikisinə kömək etməli olan bir siyasət qaydası. Qayda mənbə portu 22-yə uyğun gəlir, sorğunu yalnız WAN standartını bilən cədvələ göndərir və VPN girişi yeni girişlərə cavab verməyi dayandırır, birbaşa giriş isə işləməyə davam edir. Seçici düzgün oxunduqdan sonra bunların heç biri sirli deyil. Mənbə portu xidməti müəyyən edir, bağlantının gəldiyi yolu deyil.

İki giriş, bir xidmət portu

Hostun LAN tərəfində ünvanı və VPN ünvanı var və sshd hər ikisində dinləyir. Buna görə birbaşa sessiya ilə tunel sessiyası xidmət portunu paylaşır və yalnız bağlantını hansı yerli ünvanın qəbul etməsi ilə fərqlənir.

Bu fərq cavab yolunu seçmək üçün kifayətdir və bu, porta əsaslanan qaydanın atdığı fərqin tam özüdür. Hər iki sessiya mənbə portu 22 olan cavablar yaradır, ona görə də bu porta uyğun gələn qayda onları ayıra bilmir. Qayda hər iki sorğunu eyni cədvələ göndərir və onlardan biri uyğun olmayan cavab alır. Düzəliş həqiqətən fərqlənən atributu uyğunlaşdırmaqdır.

Hər girişə öz portunu vermək də işləyərdi və bunu tələb kimi qəbul etmək SSH-ın xassəsi deyil, dizayn seçimidir.

Qaydanı oxu, sonra cədvəli oxu

Siyasət qaydası sıralanmış seçicidir və yararlı cavab qaytaran birinci qayda axtarışı bitirir. Siyahını sıra ilə oxuyun və hansı qaydanın qazana biləcəyini qeyd edin.

Sonra həmin qaydanın göstərdiyi cədvəli oxuyun, çünki uğurla həll edən qayda faydalı həll edən qayda deyil. Yalnız standart marşrutu saxlayan cədvəl VPN cavabını WAN interfeysindən göndərir. Sonrakı cədvəldə daha dəqiq marşrut heç vaxt nəzərə alınmır və buna görə ikinci cədvəl əlavə etmək çox vaxt heç nəyi dəyişmir. Yoxlanmalı olan seçilmiş cədvəldir.

ip -4 rule show
ip route show table 100
ip route show table main

Bu iki çıxış birlikdə nəticəni izah edir; hər biri təkbaşına yanlış nəticəyə dəvət edir.

Qaydanı nəzərdə tutduğun axına həddlə

İki girişi ayıran atribut yerli mənbə ünvanıdır. Bu ünvana uyğun gələn qayda yalnız tunel sessiyalarını özəl cədvələ göndərir və birbaşa sessiyaları əsas cədvəldə saxlayır.

Bu qayda özəl marşrutu və həmin alt şəbəkə üçün qayıdış yolunu saxlayan cədvəllə birləşdirilməlidir. Hər ikisini hostdakı hər xidmətə deyil, idarəetmə trafikinə həddləyin. Bu ünvandan gələn bütün trafiki tutan qayda hostun oradan göndərdiyi hər şeyi də yönləndirəcək. Burada dar olmaq ağıllı olmaqdan üstündür, çünki növbəti şəxs onu oxumalı olacaq.

sudo ip rule add from 10.90.0.1 lookup 100 priority 100
sudo ip route add 10.90.0.0/24 dev wg0 table 100
ip route get 10.90.5.20 from 10.90.0.1

Hər iki giriş bir yerli ünvana çevrilərsə, bu fərq yox olar və dizayn bunun əvəzinə bağlantıdan xəbərdar vəziyyətə ehtiyac duyar.

Dinləyicini, icazəni və cavab seçimini ayrı saxla

Sessiyanın işləməsi üçün üç ayrı şey doğru olmalıdır: ünvan mövcuddur, xidmət onu dinləyir və cavab geri yolunu tapır. Marşrut dəyişikliyi yalnız üçüncünü düzəldir.

Dinləyici konfiqurasiyası öz faylı və öz yenidən yüklənməsidir və çoxsaylı dinləmə ünvanları normaldır. Autentifikasiya yenə üçüncü qərardır və marşrut istisnası heç kimə giriş vermir. Hər iki girişdə host açarının yoxlanmasını, hesab autentifikasiyasını və mənbə məhdudiyyətlərini saxlayın və bir idarəetmə yolunun işləməsi üçün tunelin digər nəzarətlərini zəiflətmək istəyinə qarşı durun.

Dəyişdiyiniz yoldan asılı olmayan bərpa kanalı saxlayın, çünki burada edilən səhv düzəlişin özünü bağlayır.

Bunu köhnə deyil, yeni sessiya ilə sübut et

Qurulmuş terminal heç nəyi sübut etmir, çünki o, dəyişiklikdən əvvəl qəbul edilib. Hər nəzərdə tutulan giriş vasitəsilə təzə sessiya açın.

ss -ltnp | grep ':22'
sudo sshd -T | grep -i listenaddress
ssh -v [email protected] true
sudo journalctl -u ssh -n 30

Sonra VPN yenidən qoşulmasını təkrarlayın və yenidən cəhd edin, çünki yenidən qoşulmaya dözən marşrut yenidən qoşulmanın təmizlədiyi cədvələ əlavə edilmiş marşrutla eyni deyil. Rədd edilən mənbələri icazə verilənlərdən ayrıca müşahidə edin ki, bloklanmış cəhd işləyən sessiyanın arxasında gizlənməsin. Yerli ünvanı, qaydanı və cədvəli nəticənin yanında saxlayın. Əgər portları bölməyi seçirsinizsə, bunu SSH-ın məhdudiyyəti deyil, əməliyyat qərarı kimi qeyd edin.