SSH bastion ili direktan VPN pristup: koja politika vrijedi?

Pitanje mogu li VPN korisnici doći do servera bez prelaska preko jump hosta jeste pitanje politike u mrežnom kostimu. Ako bastion obavlja obaveznu kontrolu, tada priključenje na VPN mora voditi do njega, a ne oko njega. Ako je jump host samo premošćavao segment koji je prije bio nedostupan, uska direktna putanja može biti poštena zamjena. Prođite kroz provjere ispod redom i zaustavite se na prvoj koja padne, jer taj odgovor odlučuje o ostalima.

Provjerite čime bastion zapravo upravlja

Počnite s dokazima o sadašnjosti, a ne s dijagramom iz projektnog dokumenta. Pogledajte SSH konfiguraciju i filter paketa na cilju: ako se ulazni port 22 prihvata samo s adrese bastiona, jump host je nametnuta kontrola. Ako isti port prihvata veze iz cijelog VPN pula, bastion je bio pogodnost, a nametanje živi negdje sasvim drugdje. Historija zahtjeva obično potvrđuje koje je od dvoje postojalo prvo.

Iznesite nalaz u jednoj rečenici koja imenuje kontrolu koju bastion pruža: ograničenje odredišta, drugi korak autentifikacije, snimanje sesije ili operativna vidljivost tokom incidenta. Ta rečenica je ono što politika zamjene mora sačuvati.

Provjerite može li cilj razlikovati putanje

Pravila izvorne adrese rade samo dok dvije putanje dolaze s različitim izvornim adresama. VPN gateway koji maskira saobraćaj prema podmreži servera briše tu razliku, i tada svaka veza na port 22 izgleda kao da dolazi s gatewaya. Provjera je lokalna na cilju i traje trenutak: izlistajte uspostavljene SSH sesije i pročitajte adresu partnera za svaku.

Kada se obje putanje stope u jednu adresu, razlikovanje se mora napraviti ranije — kroz odredišta koja VPN smije gurati i kroz vlastite filtere gatewaya. Dodavanje pravila na cilju u takvoj situaciji stvara iluziju granice bez promjene onoga što stiže.

Provjerite šta svaki zapis zaista drži

Tri različita zapisa opisuju tri različita događaja i nijedan ne zamjenjuje drugi. Zapis o vezi VPN-a pokazuje da je identitet ušao u mrežni obim. Zapis o prosljeđivanju bastiona pokazuje TCP kanal koji ga napušta prema odredištu i portu. Zapis autentifikacije na cilju pokazuje da se račun prijavio preko SSH-a. Zajedničko čitanje stvara vremensku liniju; čitanje samo jednog stvara nagađanje.

Nijedan od tih zapisa ne sadrži ono što se dogodilo unutar šifrirane sesije između klijenta i cilja. Ako je pregled na razini komandi obavezan, potreban je namjerno postavljen mehanizam snimanja s vlastitim pravilima obrade podataka. Očekivati to od zapisa jump hosta način je na koji auditna praznina ostaje skrivena dok ne postane važna.

Provjerite gdje se politika zapravo primjenjuje

Klijentska postavka poput ProxyJump je zahtjev, ne ograničenje. OpenSSH će rado otvoriti direktnu vezu kada je odredište dostupno, pa konfiguracijske datoteke na laptopima opisuju namjeru, dok firewalli odlučuju o ishodu. Nametanje pripada dozvoljenim odredištima VPN gatewaya i vlastitim pravilima pristupa cilja, a korisnik ne može uređivati ni jedno ni drugo. Istovremeno revidirajte alternativne putanje: drugo sučelje, javni listener, mesh overlay ili stariji site-to-site tunel svaki može vratiti prečicu koju ste upravo zatvorili.

Ipak konfigurirajte ProxyJump, jer odobrenu rutu čini lakom i sprječava da rutinski rad stvara izuzetke. Potvrdite šta klijent zaista razrješava prije nego mu povjerujete.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Provjerite namjernim direktnim pokušajem

Politika koja nikad nije testirana je nada. S klijenta priključenog na VPN pokušajte putanju koja sada treba biti odbijena, zatim pokušajte odobrenu i sačuvajte oba rezultata. Odbijeni pokušaj je dokaz da je promjena stupila na snagu.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Čist rezultat izgleda kao odbijena ili istekla direktna veza na adresu cilja, praćena uspješnom prijavom na jump host i unosom autentifikacije na strani cilja koji imenuje podržani izvor. Sve drugo znači da je granica još propusna, šta god dokumentacija tvrdila. Zabilježite datum, promijenjeno pravilo i oba ishoda, zatim dajte putanji oporavka vlasnika i rok trajanja kako hitni pristup ne bi tiho postao svakodnevna ruta.