SSH bastion, nebo přímý přístup přes VPN: která politika platí?

Zda se uživatelé VPN mohou dostat na servery bez průchodu přes jump host, je otázka politiky v síťovém kostýmu. Pokud bastion vykonává povinnou kontrolu, pak připojení k VPN musí vést k němu, ne kolem něj. Pokud jump host jen přemosťoval segment, který byl dříve nedostupný, může být úzká přímá cesta poctivou náhradou. Projděte kontroly níže v pořadí a zastavte se u první, která selže, protože ta odpověď rozhoduje o zbytku.

Zkontrolujte, co bastion skutečně řídí

Začněte důkazy o současnosti, ne diagramem z návrhového dokumentu. Podívejte se na SSH konfiguraci a paketový filtr cíle: pokud je příchozí port 22 přijímán jen z adresy bastionu, je jump host vynucenou kontrolou. Pokud stejný port přijímá spojení z celého poolu VPN, byl bastion pohodlím a vynucení žije úplně jinde. Historie tiketů obvykle potvrdí, které ze dvou existovalo první.

Vyjádřete zjištění jednou větou, která pojmenuje kontrolu, kterou bastion poskytuje: omezení cíle, druhý krok autentizace, nahrávání relace nebo provozní viditelnost během incidentu. Právě tuto větu musí náhradní politika zachovat.

Zkontrolujte, zda cíl cesty rozliší

Pravidla zdrojové adresy fungují jen dokud dvě cesty přicházejí s různými zdrojovými adresami. VPN brána, která maskuje provoz do podsítě serverů, tuto rozdíl maže, a pak každé připojení na port 22 vypadá, jako by přišlo z brány. Kontrola je lokální na cíli a chvíli trvá: vypište navázané SSH relace a u každé přečtěte adresu protistrany.

Když obě cesty splynou v jednu adresu, rozlišení se musí udělat dřív, a to podle cílových adres, které VPN smí posílat, a podle vlastních filtrů brány. Přidání pravidla na cíli v takové situaci vytváří iluzi hranice, aniž by měnilo to, co přichází.

Zkontrolujte, co každý záznam skutečně obsahuje

Tři různé záznamy popisují tři různé události a žádný nenahrazuje jiný. Záznam připojení VPN ukazuje, že identita vstoupila do síťového rozsahu. Záznam přesměrování bastionu ukazuje TCP kanál, který jej opouští k cíli a portu. Autentizační log cíle ukazuje, že se účet přihlásil přes SSH. Společné čtení vytváří časovou osu; čtení jednoho vytváří dohad.

Žádný z těchto záznamů neobsahuje, co se stalo uvnitř šifrované relace mezi klientem a cílem. Pokud je revize na úrovni příkazů požadavkem, potřebuje záměrně nasazený mechanismus nahrávání s vlastními pravidly nakládání s daty. Očekávat to od logů jump hostu je způsob, jakým auditní mezera zůstává skrytá, dokud nezačne vadit.

Zkontrolujte, kde se politika skutečně vynucuje

Nastavení klienta jako ProxyJump je požadavek, ne omezení. OpenSSH ochotně otevře přímé spojení, když je cíl dostupný, takže konfigurační soubory na noteboocích popisují úmysl, zatímco firewally rozhodují o výsledku. Vynucení patří k povoleným cílům VPN brány a k vlastním přístupovým pravidlům cíle, a ani jedno uživatel nemůže upravit. Zároveň auditně projděte alternativní cesty: druhé rozhraní, veřejný listener, mesh overlay nebo starší tunel mezi lokalitami mohou každý obnovit zkratku, kterou jste právě zavřeli.

Přesto ProxyJump nastavte, protože schválenou trasu dělá snadnou a brání rutinní práci vytvářet výjimky. Ověřte, co klient skutečně překládá, než mu uvěříte.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Ověřte záměrným přímým pokusem

Politika, která nebyla nikdy otestována, je naděje. Z klienta připojeného k VPN zkuste cestu, která má být nyní odmítnuta, pak zkuste schválenou a oba výsledky si ponechte. Odmítnutý pokus je důkazem, že změna nabyla účinnosti.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Čistý výsledek vypadá jako odmítnuté nebo časově vypršené přímé spojení na adresu cíle, po němž následuje úspěšné přihlášení na jump host a autentizační záznam na straně cíle, který jmenuje podporovaný zdroj. Cokoli jiného znamená, že hranice je stále propustná, ať dokumentace říká cokoli. Zapište datum, změněné pravidlo a oba výsledky, pak dejte cestě obnovy vlastníka a datum vypršení aby se nouzový přístup tiše nestal každodenní trasou.