Bastió SSH o accés directe per VPN: quina política s’aplica?

Si els usuaris de VPN poden arribar als servidors sense creuar un host de salt és una qüestió de política disfressada de xarxa. Si el bastió fa un control obligatori, aleshores unir-se a la VPN ha de dur-hi, no pas vorejar-lo. Si l’host de salt només connectava un segment que abans era inabastable, un camí directe estret pot ser la substitució honesta. Feu les comprovacions següents per ordre i atureu-vos a la primera que falli, perquè aquesta resposta decideix la resta.

Comproveu què controla realment el bastió

Comenceu amb proves sobre el present, no amb un diagrama del document de disseny. Mireu la configuració SSH i el filtre de paquets de l’objectiu: si el port 22 d’entrada només s’accepta des de l’adreça del bastió, l’host de salt és un control imposat. Si el mateix port accepta connexions de tot el grup de VPN, el bastió era una comoditat i l’aplicació viu en un altre lloc del tot. L’historial de tiquets sol confirmar quin dels dos va existir primer.

Enunciï la troballa en una frase que anomeni el control que proporciona el bastió: restricció de destinació, un segon pas d’autenticació, enregistrament de sessió o visibilitat operativa durant un incident. Aquesta frase és el que la política de substitució ha de preservar.

Comproveu si l’objectiu pot distingir els camins

Les regles d’adreça d’origen només funcionen mentre els dos camins arriben amb adreces d’origen diferents. Una passarel·la VPN que emmascara el trànsit cap a la subxarxa de servidors esborra aquesta diferència, i aleshores cada connexió al port 22 sembla venir de la passarel·la. La comprovació és local a l’objectiu i dura un moment: lliste les sessions SSH establertes i llegiu l’adreça del parell de cadascuna.

Quan tots dos camins es col·lapsen en una sola adreça, la distinció s’ha de fer abans, per les destinacions que la VPN pot empènyer i pels filtres propis de la passarel·la. Afegir una regla a l’objectiu en aquesta situació crea la il·lusió d’una frontera sense canviar què arriba.

Comproveu què guarda realment cada registre

Tres registres diferents descriuen tres esdeveniments diferents, i cap no substitueix l’altre. El registre de connexió de la VPN mostra que una identitat va entrar a l’àmbit de xarxa. El registre de reenviament del bastió mostra un canal TCP que en surt cap a una destinació i un port. El registre d’autenticació de l’objectiu mostra que un compte va iniciar sessió per SSH. Llegir-los junts és el que produeix una cronologia; llegir-ne un de sol produeix una conjectura.

Cap d’aquests registres no conté què va passar dins de la sessió xifrada entre client i objectiu. Si la revisió a nivell d’ordre és un requisit, cal un mecanisme d’enregistrament desplegat deliberadament amb les seves pròpies regles de tractament de dades. Esperar-ho dels registres de l’host de salt és com un buit d’auditoria queda amagat fins que importa.

Comproveu on s’aplica realment la política

Un paràmetre de client com ProxyJump és una petició, no una restricció. OpenSSH obrirà de bon grat una connexió directa quan la destinació sigui abastable, així que els fitxers de configuració dels portàtils descriuen la intenció mentre els tallafocs decideixen el resultat. L’aplicació pertoca a les destinacions permeses de la passarel·la VPN i a les regles d’accés pròpies de l’objectiu, i l’usuari no pot editar cap de les dues. Auditeu els camins alternatius alhora: una segona interfície, un oient públic, una capa mesh o un túnel antic entre llocs poden cadascun restaurar la drecera que acabeu de tancar.

Configureu ProxyJump igualment, perquè fa que la ruta aprovada sigui la fàcil i evita que la feina rutinària generi excepcions. Confirmeu què resol realment el client abans de confiar-hi.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Verifiqueu amb un intent directe deliberat

Una política que mai no s’ha provat és una esperança. Des d’un client connectat a la VPN, proveu el camí que ara hauria de ser rebutjat, després proveu l’aprovat i guardeu tots dos resultats. L’intent rebutjat és la prova que el canvi ha tingut efecte.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Un resultat net sembla una connexió directa rebutjada o exhaurida per temps a l’adreça de l’objectiu, seguida d’una entrada correcta a l’host de salt i d’una entrada d’autenticació al costat de l’objectiu que anomeni l’origen admès. Qualsevol altra cosa vol dir que la frontera encara és porosa, digui el que digui la documentació. Anoteu la data, la regla que es va canviar i els dos resultats, i després doneu al camí de recuperació un responsable i una data de caducitat perquè l’accés d’emergència no es converteixi silenciosament en la ruta de cada dia.