Cadw SSH lleol pan fydd y gwesteiwr yn rhedeg VPN tuag allan

Mae gweinydd Linux bach yn rhedeg VPN tuag allan ar gyfer y rhaglen y mae’n ei chynnal, ac mae’r gweinyddwr yn dal i fod eisiau cyrraedd y cyfrifiadur hwnnw dros SSH o’r ddesg drws nesaf. Mae hynny’n ofyniad rhesymol, ac fel arfer nid yw’n gofyn am anfon porthladdoedd, na chyfeiriad darparwr, na thwll yn y twnnel. Yr hyn sydd ei angen yw llwybr rheoli a gynlluniwyd yn fwriadol yn lle un a etifeddwyd o’r hyn a wnaeth y cleient VPN i’r tabl llwybro.

Mae’r camau isod yn cymryd yn ganiataol bod y gweinyddwr ar yr un LAN.Mae gweinyddiaeth o bell yn broblem wahanol gydag ateb gwahanol.

Rhwymwch SSH i’r cyfeiriad y mae gweinyddwyr yn ei ddefnyddio

Dechreuwch gyda’r gwrandawr.ss -ltnp | grep :22 yn dangos i beth mae sshd wedi’i rwymo, ac mae gwrandawr ar 0.0.0.0 yn derbyn cysylltiadau o bob rhyngwyneb, gan gynnwys y twnnel. Mae rhwymo i gyfeiriad y LAN yn gulach ac yn gwneud y bwriad yn weladwy:ListenAddress 192.168.10.20 yn sshd_config, ac yna prawf cyfluniad ac ail-lwytho. Mae camgymeriad teip yn y cyfeiriad hwnnw’n fwy gweladwy na nod chwilio, oherwydd mae sshd yn gwrthod cychwyn pan nad yw’r cyfeiriad yn bodoli.

Cadwch wirio allwedd y gwesteiwr a dilysu bob defnyddiwr yn union fel y maent. „Y rhwydwaith lleol yn unig ydyw” nid yw’n ddull dilysu, ac mae sianel reoli sy’n heidio dilysu allwedd oherwydd bod y llwybr yn fyr yn sianel reoli sy’n aros i gael ei chamddefnyddio. Mae cadw DHCP neu gyfeiriad statig yn gwneud y targed yn ragweladwy heb ei droi’n hunaniaeth gyhoeddus y gweinydd.

Cadwch lwybr y LAN allan o’r twnnel

Mae gan westeiwr sydd â chyfeiriad ar 192.168.10.0/24 lwybr cysylltiedig ar gyfer y rhagddodiad hwnnw, ac mae llwybr mwy penodol yn curo’r llwybr diofyn VPN o fewn yr un tabl. Dyna pam mae SSH lleol yn aml yn parhau i weithio ar ei ben ei hun pan fydd y twnnel yn codi. Gwiriwch hynny yn lle tybio:ip route get 192.168.10.50 yn enwi’r rhyngwyneb a’r cyfeiriad ffynhonnell y byddai’r cnewyllyn yn ei ddefnyddio, a’r ateb ddylai fod y ddyfais LAN, nid y twnnel. Ailadroddwch y gwiriad o beiriant y gweinyddwr hefyd, oherwydd ei dab ei hun sy’n penderfynu a fydd y pecynnau’n cyrraedd o gwbl. Gall dau westeiwr ar yr un wifr anghytuno ynghylch pa gyfeiriad sy’n gyrraeddadwy.

Mae’r dybiaeth yn torri mewn dau le. Gall rheol llwybro yn ôl polisi anfon traffig i dabl y mae ei lwybr diofyn yn pwyntio i’r twnnel cyn i’r prif dabl gael ei ystyried. Gall cleient VPN sydd â nodwedd clo neu kill-switch hefyd rwystro traffig nad yw’n mynd i mewn i’r twnnel, waeth beth mae’r tabl llwybro’n ei ddweud.

VLANau rheoli wedi’u llwybro yw’r achos arall. Os yw’r gweinyddwr ar 192.168.50.0/24 y tu ôl i’r llwybrydd lleol, mae angen llwybr penodol ar y gweinydd ar gyfer y rhagddodiad hwnnw trwy 192.168.10.1, ac mae’n rhaid i’r llwybr hwnnw oroesi ailgysylltu. Cadwch yr eithriad yn benodol i ragddodiad y rheolaeth; mae eithriad eang ar gyfer ystodau preifat yn trechu pwrpas y twnnel.

Gwnewch eithriad y wal dân mor gul â’r rheol

Os yw’r gwesteiwr yn rhedeg wal dân, caniatéwch SSH o ffynhonnell y rheolaeth yn unig, ac ar ryngwyneb y LAN yn unig. Mae rheol sy’n caniatáu porth 22 o unrhyw le yn ehangach na’r gofyniad ac yn anoddach ei chyfiawnhau mewn adolygiad. Ar westeiwr nftables mae’r rheol yn perthyn i’r gadwyn fewnbwn gyda’r rhyngwyneb a’r ffynhonnell yn cyfateb; ar westeiwr iptables y cyfatebol yw pâr o gyfatebiadau ar -i a -s. Sylwch ar y rheol gyda’r grŵp gweinyddwyr y mae’n ei wasanaethu, fel nad oes rhaid i’r archwiliad nesaf ddyfalu pam mae porth 22 ar agor.

Gwiriwch hidlydd y cleient VPN ei hun hefyd. Mae rhai cleientiaid yn gosod rheolau sy’n gollwng traffig lleol yn fwriadol, ac nid yw rheol wal dân gywir ar ben gollwng ar lefel cleient yn newid dim. Darllenwch gyfluniad y cleient cyn golygu wal dân y gwesteiwr, oherwydd mae dau hidlydd mewn cyfres yn cynhyrchu methiant nad yw’n debyg i’r naill na’r llall.

Profwch y ddau gyflwr

Rhedwch y prawf ddwywaith: unwaith gyda’r twnnel wedi’i gysylltu ac unwaith gyda fe wedi’i ddatgysylltu. Ym mhob cyflwr, cadarnhewch y gwrandawr, y llwybr, a mewngofnod SSH gwirioneddol o beiriant y gweinyddwr. Nid yw llwybr sy’n gweithio dim ond tra bo’r twnnel i fyny’n llwybr rheoli lleol; damwain ydyw.

Yna ailgychwynnwch y twnnel tra bo sesiwn SSH ar agor. Mae sesiwn sy’n goroesi yn profi bod y llwybro’n sefydlog; mae sesiwn sy’n cwympo’n dweud wrthych fod y cleient yn ailysgrifennu llwybrau neu hidlwyr wrth ailgysylltu, sy’n werth ei wybod cyn digwyddiad yn hytrach nag yn ystod un.

Cofnodwch y cyfeiriad ffynhonnell y gwnaethoch brofi ohono, oherwydd mae rheol a ysgrifennwyd ar gyfer 192.168.10.50 yn methu’n dawel pan fydd gliniadur y gweinyddwr yn symud i isrwydwaith arall.

Ysgrifennwch y llwybr adferiad yn y runbook

Penderfynwch nawr beth sy’n digwydd os yw’r VPN tuag allan yn torri’r llwybr lleol. Mae mynediad consol, ail gyfeiriad rheoli, neu weithdrefn ddogfennedig ar gyfer stopio’r cleient i gyd yn atebion dilys, ac mae unrhyw un ohonynt yn well na darganfod y broblem ar yr eiliad y mae angen i chi fewngofnodi. Os yw’r gweinydd ymhell, nid yw’r llwybr lleol yn bodoli, a’r dyluniad cywir yw llwybr mynediad o bell cymeradwy ar wahân neu bastiwn yn hytrach na phorth cyhoeddus agored.

Cadwch y ddwy rôl ar wahân yn y ddogfennaeth: SSH lleol ar gyfer y gweinyddwr sydd gerllaw, a’r twnnel tuag allan ar gyfer traffig y rhaglen. Pan fydd y rolau hynny wedi’u hysgrifennu, mae gan newid yn y dyfodol i’r naill neu’r llall le amlwg i’w wirio, ac nid oes rhaid i’r person nesaf ailddarganfod pam mae gweinydd â VPN yn dal i ateb ar ei gyfeiriad LAN.