SSH bastionu və ya birbaşa VPN çıxışı: hansı siyasət tətbiq olunur?

VPN istifadəçilərinin jump host-dan keçmədən serverlərə çıxışının olub-olmadığı şəbəkə libasında gəzən bir siyasət sualıdır. Əgər bastion tələb olunan nəzarəti həyata keçirirsə, VPN-ə qoşulma ondan yan keçməklə deyil, ona aparmalıdır. Əgər jump host sadəcə əvvəllər əlçatmaz olan seqmenti birləşdirirdisə, dar bir birbaşa yol dürüst əvəz ola bilər. Aşağıdakı yoxlamaları sıra ilə işləyin və ilk uğursuz olanında dayanın, çünki cavab qalanını müəyyən edir.

Bastionun əslində nəyə nəzarət etdiyini yoxlayın

Dizayn sənədindəki diaqramla deyil, indiki vaxta dair sübutlarla başlayın. Hədəfin SSH konfiqurasiyasına və paket filtrinə baxın: əgər daxil olan 22-ci port yalnız bastionun ünvanından qəbul edilirsə, jump host məcburi nəzarətdir. Əgər həmin port bütün VPN hovuzundan bağlantı qəbul edirsə, bastion sadəcə rahatlıq idi və məcburiyyət tamam başqa yerdə yaşayır. Bilet tarixçəsi adətən ikisindən hansının əvvəl mövcud olduğunu təsdiqləyir.

Tapıntını bastionun təmin etdiyi nəzarəti adlandıran bir cümlə ilə ifadə edin: hədəf məhdudiyyəti, ikinci autentifikasiya addımı, sessiya yazısı və ya hadisə zamanı əməliyyat görünürlüğü. Əvəzetmə siyasətinin qorumalı olduğu şey həmin cümlədir.

Hədəfin yolları ayırd edib-edə bilmədiyini yoxlayın

Mənbə ünvan qaydaları yalnız iki yol fərqli mənbə ünvanları ilə gəldiyi müddətdə işləyir. Server alt şəbəkəsinə trafiki maskalayan VPN şlüzü bu fərqi silir və bundan sonra 22-ci porta hər bağlantı şlüzdən gəlmiş kimi görünür. Yoxlama hədəfin özündə aparılır və bir an çəkir: qurulmuş SSH sessiyalarını sadalayın və hər biri üçün peer ünvanını oxuyun.

Hər iki yol bir ünvanda birləşdikdə, fərq daha əvvəl qoyulmalıdır: VPN-in göndərməsinə icazə verilən hədəflərlə və şlüzün öz filtrləri ilə. Belə vəziyyətdə hədəfə qayda əlavə etmək, gələnə heç nəyi dəyişmədən sərhəd illüziyası yaradır.

Hər qeydin əslində nə saxladığını yoxlayın

Üç fərqli jurnal üç fərqli hadisəni təsvir edir və heç biri digərini əvəz etmir. VPN-in bağlantı qeydi bir kimliyin şəbəkə əhatəsinə girdiyini göstərir. Bastionun yönləndirmə qeydi oradan hədəfə və porta doğru çıxan TCP kanalını göstərir. Hədəfin autentifikasiya jurnalı hesabın SSH üzərindən daxil olduğunu göstərir. Onları birlikdə oxumaq xronologiya yaradır; birini tək oxumaq təxmin yaradır.

Bu qeydlərin heç biri müştəri ilə hədəf arasındakı şifrələnmiş sessiyanın içində baş verəni saxlamır. Əgər əmr səviyyəsində baxış tələbdirsə, bunun üçün öz məlumat emalı qaydaları olan, qəsdən yerləşdirilmiş yazı mexanizmi lazımdır. Bunu jump host jurnallarından gözləmək audit boşluğunun vacib olana qədər gizli qalmasının yoludur.

Siyasətin həqiqətən harada tətbiq olunduğunu yoxlayın

ProxyJump kimi müştəri parametri tələbdir, məhdudiyyət deyil. Hədəf əlçatan olduqda OpenSSH məmnuniyyətlə birbaşa bağlantı açacaq, buna görə noutbuklardakı konfiqurasiya faylları niyyəti təsvir edir, nəticəni isə firewall-lar müəyyən edir. Məcburiyyət VPN şlüzünün icazə verilən hədəflərində və hədəfin öz giriş qaydalarında olmalıdır; istifadəçi bunların heç birini redaktə edə bilməz. Eyni zamanda alternativ yolları audit edin: ikinci interfeys, açıq listener, mesh örtüyü və ya köhnə saytlararası tunel hər biri indicə bağladığınız qısayolu bərpa edə bilər.

Yenə də ProxyJump konfiqurasiya edin, çünki bu, təsdiqlənmiş marşrutu asan yol edir və gündəlik işin istisnalar yaratmasının qarşısını alır. Müştərinin həqiqətən nəyi həll etdiyini güvənməzdən əvvəl təsdiqləyin.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Qəsdən birbaşa cəhdlə təsdiqləyin

Heç sınaqdan keçirilməmiş siyasət ümiddir. VPN-ə qoşulmuş müştəridən indi rədd edilməli olan yolu sınayın, sonra təsdiqlənmiş yolu sınayın və hər iki nəticəni saxlayın. Rədd edilən cəhd dəyişikliyin qüvvəyə mindiyinin sübutudur.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Təmiz nəticə hədəf ünvanına rədd edilmiş və ya vaxtı bitmiş birbaşa bağlantı, ardınca uğurlu jump host girişi və hədəf tərəfdə dəstəklənən mənbəni adlandıran autentifikasiya qeydi kimi görünür. Başqa hər şey sərhədin hələ də məsaməli olduğunu bildirir, sənədləşmə nə deyirsə də. Tarixi, dəyişdirilmiş qaydanı və iki nəticəni qeyd edin, sonra bərpa yoluna bir sahib və bir bitmə tarixi verin ki təcili çıxış səssizcə gündəlik marşruta çevrilməsin.