SSH-бастыён ці прамы доступ праз VPN: якая палітыка дзейнічае?

Пытанне, ці могуць карыстальнікі VPN дасягаць сервераў без пераходу праз прамежкавы хост, — гэта пытанне палітыкі ў сеткавай вопратцы. Калі бастыён выконвае абавязковы кантроль, то далучэнне да VPN мусіць весці да яго, а не ў абыход. Калі прамежкавы хост проста злучаў сегмент, які раней быў недасяжным, вузкі прамы шлях можа быць сумленнай заменай. Выканайце праверкі ніжэй па парадку і спыніцеся на першай няўдалай, бо гэты адказ вызначае астатнія.

Праверце, што бастыён насамрэч кантралюе

Пачніце са сведчанняў пра сучаснасць, а не з дыяграмы з праектнага дакумента. Паглядзіце на канфігурацыю SSH і фільтр пакетаў на мэце: калі ўваходны порт 22 прымаецца толькі з адраса бастыёна, прамежкавы хост — гэта абавязковы кантроль. Калі той жа порт прымае злучэнні з усяго пула VPN, бастыён быў зручнасцю, а прымус жыве зусім у іншым месцы. Гісторыя заявак звычайна пацвярджае, што з двух узнікла першым.

Сфармулюйце выснову адным сказам, назваўшы кантроль, які забяспечвае бастыён: абмежаванне прызначэння, другі крок аўтэнтыфікацыі, запіс сеансу або аперацыйная бачнасць падчас інцыдэнту. Менавіта гэты сказ палітыка замены павінна захаваць.

Праверце, ці адрознівае мэта шляхі

Правілы адраса крыніцы працуюць толькі пакуль два шляхі прыходзяць з рознымі адрасамі крыніцы. VPN-шлюз, які маскіруе трафік да падсеткі сервераў, сцірае гэтую розніцу, і тады кожнае злучэнне да порта 22 выглядае так, быццам прыйшло ад шлюза. Праверка лакальная на мэце і займае імгненне: пералічыце ўсталяваныя сеансы SSH і прачытайце адрас партнёра для кожнага.

Калі абодва шляхі зліваюцца ў адзін адрас, адрозненне трэба рабіць раней — праз прызначэнні, якія VPN дазволена адпраўляць, і праз уласныя фільтры шлюза. Даданне правіла на мэце ў такой сітуацыі стварае ілюзію мяжы, не змяняючы таго, што прыходзіць.

Праверце, што насамрэч захоўвае кожны запіс

Тры розныя журналы апісваюць тры розныя падзеі, і ні адзін з іх не замяняе іншы. Запіс злучэння VPN паказвае, што ідэнтычнасць увайшла ў сеткавы асяродак. Запіс перасылкі бастыёна паказвае TCP-канал, які выходзіць з яго да прызначэння і порта. Журнал аўтэнтыфікацыі мэты паказвае, што ўліковы запіс увайшоў праз SSH. Менавіта супольнае чытанне стварае храналогію; чытанне аднаго асобна стварае здагадку.

Ні адзін з гэтых запісаў не ўтрымлівае таго, што адбылося ўнутры зашыфраванага сеансу паміж кліентам і мэтай. Калі агляд на ўзроўні каманд абавязковы, патрэбны наўмысна разгорнуты механізм запісу з уласнымі правіламі апрацоўкі даных. Чакаць гэтага ад журналаў прамежкавага хоста — гэта спосаб, якім прабел у аўдыце застаецца схаваным, пакуль не стане важным.

Праверце, дзе палітыка насамрэч ужываецца

Кліенцкая налада, такая як ProxyJump, — гэта запыт, а не абмежаванне. OpenSSH ахвотна адкрые прамое злучэнне, калі прызначэнне дасяжнае, таму канфігурацыйныя файлы на ноўтбуках апісваюць намер, а вынік вызначаюць міжсеткавыя экраны. Прымус належыць да дазволеных прызначэнняў VPN-шлюза і да ўласных правіл доступу мэты, і ні тое, ні другое карыстальнік не можа рэдагаваць. Адначасова аўдыруйце альтэрнатыўныя шляхі: другі інтэрфейс, публічны слухач, mesh-асяродак або стары тунель паміж пляцоўкамі — кожны можа аднавіць кароткі шлях, які вы толькі што зачынілі.

Усё ж наладзьце ProxyJump, бо гэта робіць зацверджаны маршрут самым простым і не дае руціннай працы ствараць выключэнні. Пацвердзіце, што менавіта кліент разрознівае, перш чым давяраць яму.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Праверце наўмыснай прамой спробай

Палітыка, якая ніколі не правяралася, — гэта надзея. З кліента, падключанага да VPN, паспрабуйце шлях, які цяпер павінен быць адхілены, затым паспрабуйце зацверджаны і захавайце абодва вынікі. Адхіленая спроба — гэта доказ таго, што змена ўступіла ў сілу.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Чысты вынік выглядае як адхіленае або скасаванае па тайм-аўце прамое злучэнне да адраса мэты, пасля якога ідзе паспяховы ўваход на прамежкавы хост і запіс аўтэнтыфікацыі на баку мэты з назвай падтрыманай крыніцы. Усё іншае азначае, што мяжа ўсё яшчэ порыстая, што б ні казала дакументацыя. Запішыце дату, змененае правіла і абодва вынікі, затым дайце шляху аднаўлення ўладальніка і тэрмін дзеяння каб аварыйны доступ не стаў ціха штодзённым маршрутам.