SSH o bell dros VPN: beth nad yw'r twnnel yn ei wneud

Mae VPN yn rhoi llwybr preifat i weinydd SSH ac yn dileu'r angen am wrandawr cyhoeddus ar borth 22. Nid yw'n dilysu'r gwesteiwr, nid yw'n awdurdodi'r defnyddiwr, ac nid yw'n penderfynu pa gyfrifon gaiff fewngofnodi. Gwaith SSH yw hynny o hyd. Mae a yw VPN yn ffordd iawn o gyrraedd y gweinydd yn dibynnu ar dair amod, a dim ond un o'r atebion posibl yw'r twnnel.

Beth mae'r twnnel yn ei newid a beth mae SSH yn dal i benderfynu

Mae'r twnnel yn newid cyrhaeddiad: pa gyfeiriadau y gellir eu cyrraedd, ac o ble. Nid yw'n newid beth sy'n digwydd ar ôl i'r cysylltiad TCP lanio, lle mae'r gweinydd yn cyflwyno allwedd gwesteiwr ac yn gofyn am hunaniaeth defnyddiwr.

Cadwch y ddwy haen ar wahân yn eich pen ac yn eich dogfennaeth. Mae mewngofnodi VPN yn profi pwy gaiff ddefnyddio'r rhwydwaith. Nid yw'n dweud dim am ba gyfrifon sy'n bodoli ar y targed, ac nid yw'n ganiatâd i fewngofnodi i bob peiriant y gellir ei gyrraedd.

Mae'r moddau methu ar wahân hefyd, a dyna sy'n gwneud y gwahanu'n ddefnyddiol yn ystod digwyddiad.

Tair amod sy'n penderfynu'r model mynediad

Yn gyntaf, a oes angen i'r gweinydd fod yn gyrraeddadwy i bobl y tu allan i'ch rhwydwaith? Os nad oes, llwybr preifat ynghyd â bastiwn neu fesh yw'r dyluniad llai. Yn ail, a all y boblogaeth cleientiaid redeg y cleient VPN mewn gwirionedd, gan gynnwys y rhai ar ddyfeisiau a reolir gyda chyfyngiadau?

Yn drydydd, a oes angen rheolaeth fesul gwasanaeth neu reolaeth fesul defnyddiwr arnoch? Mae VPN yn rhoi cyrhaeddiad rhwydwaith; mae SSH yn rhoi mynediad i gyfrif. Os yw'r gofyniad yn un bod contractwr yn cyrraedd un gwesteiwr a dim arall, gofyniad awdurdodi yw hwnnw ac ni all y twnnel yn unig ei fynegi.

Atebwch y tair hynny a bydd y model yn dewis ei hun. Eu hepgor a byddwch yn dod i roi SSH yn gyhoeddus er mwyn osgoi'r rholio allan cleient.

Cadarnhewch y llwybr preifat cyn beio SSH

Cysylltwch â'r VPN a gymeradwywyd a defnyddiwch enw neu gyfeiriad preifat dogfennedig y targed. Yna gwiriwch y llwybr a ddewiswyd, caniatâd y giât a'r llwybr dychwelyd i'r cleient. Nid yw enw sy'n datrys yn gywir yn brawf bod y cyfeiriad yn mynd drwy'r twnnel a fwriadwyd, oherwydd gall rhagddodiadau lleol ac anghysbell sy'n gorgyffwrdd anfon y cais yn hollol rhywle arall. Mae'r gwahaniaeth hwnnw'n werth ei ysgrifennu yn y llyfr cymorth.

Os nad yw'r cysylltiad byth yn glanio, cadarnhewch fod y gweinydd yn gwrando ar y rhyngwyneb rydych yn ei ddisgwyl ac fod ei wal dân gwesteiwr yn caniatáu'r ffynhonnell y mae'n ei gweld mewn gwirionedd. Gall NAT y giât ailysgrifennu'r ffynhonnell honno, felly mae'n bosibl na fydd rhestr caniatáu a ysgrifennwyd ar gyfer cyfeiriad twnnel y cleient byth yn cyfateb.

Yr anghysondeb hwnnw yw'r methiant SSH hunan-greu mwyaf cyffredin dros VPN.

Darllenwch gam y methiant, nid y gwall cyfun

Mae tri cham yn cynhyrchu tri neges wahanol, a dim ond un ohonynt yn ymwneud â chymwysterau.

Defnyddiwch y gwall union a log y gweinydd ei hun yn lle ailosod cymwysterau VPN a SSH gyda'i gilydd. Ailosod y ddau yw'r ffordd y mae diagnosis pum munud yn troi'n ddigwyddiad hunaniaeth dwy niwrnod.

Mae allbwn manwl yn dangos pa gam gyrhaeddoch chi:

ssh -vv [email protected]

Cadwch allweddi gwesteiwr ac awdurdodiad yn gyfan

Dilyswch allwedd y gwesteiwr drwy'r broses ymddiriedol a fwriadwyd, yn enwedig ar ôl disodli gweinydd. Rhybudd allwedd newidiedig annisgwyl yw'r un neges na ddylech ei diystyru dim ond oherwydd bod y VPN wedi cysylltu, oherwydd nid yw twnnel preifat yn gwneud y gyrchfan y peiriant rydych yn ei feddwl. Gwiriwch yr ôl-brint yn erbyn ffynhonnell rydych yn ymddiried ynddi'n annibynnol o'r cysylltiad.

Ar ochr y gweinydd, cadarnhewch fod y cyfrif wedi'i awdurdodi a mai'r dull dilysu a ffurfweddwyd gennych yw'r un a gynigir. Mae allwedd sy'n bresennol ond yn cael ei hanwybyddu fel arfer yn broblem caniatâd neu ffurfweddiad yn hytrach na rhwydwaith.

Cwmpaswch fynediad gwasanaeth i'r hunaniaethau gofynnol a chadwch lwybr adfer awdurdodedig ar gyfer newidiadau rhwydwaith.