Dos àlies SSH, un servidor: VPN directa o amfitrió de salt

Mantingueu una ruta VPN aprovada i una ruta de bastió aprovada com a àlies i marcadors separats, perquè cap drecera hagi d’endevinar quina ruta està autoritzada.

El mateix servidor privat respon per una VPN aprovada i a través d’un bastió aprovat, i voleu un marcador d’Emacs per a cadascun en lloc d’una drecera que endevini. La decisió no és quina ruta és millor; és quina ruta està autoritzada per a la feina que teniu davant. Mantingueu tots dos explícits, anomeneu-los per separat i deixeu que el nom del fitxer digui quin heu triat.

Primera condició: quines rutes estan aprovades?

Un amfitrió de salt no és una alternativa automàtica a un requisit de VPN, i una VPN no és una llicència per saltar-se un bastió aprovat. Pregunteu quines rutes estan autoritzades per al vostre compte i per a aquestes dades. Si totes dues ho estan, teniu una opció; si només una, el conjunt de marcadors té una entrada. Aquesta resposta ve del propietari de les dades, no de la ruta que avui funciona per casualitat.

Escriviu la resposta, perquè la distinció desapareix de pressa durant un incident.

Totes dues rutes també necessiten la seva pròpia configuració de compte i identitat. Un àlies compartit que funciona per una ruta pot fallar per l’altra per motius que no tenen res a veure amb la xarxa.

Segona condició: podeu anomenar cada ruta de manera distintiva?

Una configuració d’SSH pot contenir dos àlies d’amfitrió per a una adreça, cadascun amb un comportament de proxy diferent. Poseu els blocs específics abans de qualsevol comodí ampli, perquè el primer valor obtingut guanya per a la majoria d’opcions.

Host proj-direct proj-bastion
    HostName 10.60.0.21
    User analyst
    ControlPath none

Host proj-direct
    ProxyJump none

Host proj-bastion
    ProxyJump gw.example.com

L’adreça de dalt és un exemple; substituïu-la per la que documenta el vostre equip. L’àlies de salt també necessita el compte aprovat del bastió, cosa que normalment vol dir un segon bloc Host per al bastió mateix. Desactivar aquí la compartició de connexions manté honesta la comparació de rutes, ja que una connexió multiplexada reutilitzada pot sobreviure al canvi de ruta que esteu intentant observar.

Aleshores els noms dels fitxers remots es mantenen distintius i llegibles.

/ssh:proj-direct:/srv/project/README.md
/ssh:proj-bastion:/srv/project/README.md

Tercera condició: l’editor coneix la diferència?

TRAMP tracta aquests dos noms de fitxer com a destinacions diferents, que és el que voleu. Marqueu cadascun amb un nom que digui quina ruta utilitza, i torneu a obrir el marcador en lloc d’editar el significat d’una sola destinació. Dos marcadors també fan visible la comparació: podeu obrir tots dos i veure quin falla sense canviar cap configuració.

Un paràmetre mereix atenció quan hi ha ProxyJump: la compartició de connexions de TRAMP ha d’estar desactivada per a les connexions rellevants, així que poseu tramp-use-connection-share a nil abans d’obrir-les. És un paràmetre de compatibilitat, no una solució per a una ruta que falta, i no fa que una ruta no autoritzada estigui autoritzada. Les FAQ de TRAMP documenten els marcadors com la manera suportada d’escurçar aquests noms.

Un marcador que canvia de ruta en silenci és pitjor que no tenir-ne cap.

Per què la icona de xarxa no demostra res

El valor global d’estat 70 de NetworkManager vol dir que la màquina té connectivitat global. No anomena cap perfil de VPN, i el Wi-Fi ordinari el satisfà. Un túnel només per a la xarxa privada que porta exactament la ruta que necessiteu pot deixar aquest valor agregat intacte. Per això una drecera lligada a la icona pot informar de disponibilitat per a una ruta que mai ha provat.

Llegiu l’estat de la connexió específica en lloc del global.

Si automatitzeu res, consulteu la connexió anomenada, i després comproveu la ruta de destí, la resposta del resolutor i l’abast d’SSH en aquest ordre. Cadascun d’aquests pot fallar mentre l’anterior té èxit, i col·lapsar-los en un sol booleà és com l’automatització acaba informant d’èxit per a una ruta que mai ha utilitzat.

Què fer quan una ruta deixa de funcionar

Deseu els vostres búfers abans d’investigar, perquè una sessió TRAMP existent pot sobreviure a un canvi de ruta i després fallar a l’escriptura següent. Tanqueu-la amb la neteja suportada, torneu a obrir el marcador i compareu les dues rutes en lloc de suposar que el servidor està caigut.

Mantingueu activa la verificació de clau d’amfitrió tant per al bastió com per a la destinació.

Una ruta diferent no us autoritza a acceptar una clau de servidor que no esperàveu, ni fa acceptable una ruta no aprovada. Totes dues són decisions separades de la que estàveu prenent.

Articles relacionats