rsync dros y VPN: porth y daemon 873 yn erbyn y modd SSH

Nid yw caniatáu TCP 873 ar ryngwyneb y twnnel yn gwthio rsync drwy OpenVPN, ac nid yw’n gwneud i’r pen pell dderbyn y modiwl. Mae twnnel yn cario cysylltiad mewnol y mae ei reolau protocol a chyrchfan yn aros yn union fel yr oeddent. Felly nid y cwestiwn cyntaf yw pa borth i’w agor ond pa fath o gysylltiad y mae rsync yn ei wneud. Mae popeth isod yn tybio bod y twnnel eisoes i fyny ac mai dim ond y gwasanaeth mewnol sydd o hyd dan amheuaeth.

Penderfynwch pa gysylltiad y mae rsync yn ei wneud mewn gwirionedd

Mae’r ddadl bell yn y gorchymyn fel arfer yn ateb y cwestiwn hwnnw cyn unrhyw newid i’r mur cadarn. Mae colan ddwbl neu gynllun URL yn dewis y daemon, tra bod colan sengl ar ôl enw gwesteiwr yn dewis plisgyn pell. Darllenwch y ddadl rydych yn ei rhedeg mewn gwirionedd, nid yr un yn enghraifft y ddogfennaeth.

Gall opsiwn plisgyn pell penodol newid yr ateb eto, oherwydd ei fod yn dweud wrth rsync pa raglen i’w lansio ar gyfer y cludiant. Darllenwch y llinell orchymyn gyfan, gan gynnwys sgriptiau lapio a etifeddwyd, nid y rhan gwesteiwr yn unig.

Modd daemon: cyfeiriad rhwymo, modiwl a phorth

Yn gystrawen y daemon, mae’r segment llwybr yn enwi modiwl a ffurfweddwyd, nid cyfeiriadur ar y disg. Dim ond ar ôl derbyn y cysylltiad y gwirir cyfrinair modiwl, a gall y modiwl fod hefyd yn ddarllen-yn-unig neu’n gudd o’r rhestr. Mae’r drefn honno’n bwysig pan fyddwch yn darllen gwall, oherwydd bod cysylltiad a wrthodwyd a modiwl a wrthodwyd yn fethiannau ar ddau gam gwahanol. Nid yw’r un neges yn dweud unrhyw beth wrthych am y twnnel ei hun.

Gellir pinio daemon annibynnol i gyfeiriad y twnnel yn ei ffeil ffurfweddu, sy’n ei gadw oddi ar y rhyngwyneb cyhoeddus heb unrhyw reol mur cadarn. Rhaid i’r gwerth fodoli pan fydd y daemon yn rhwymo, ac efallai y bydd gwrandawr a weithredir gan soced neu a reolir gan inetd yn ei anwybyddu’n llwyr.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Yna profwch yn erbyn y cyfeiriad preifat yn hytrach na’r enw cyhoeddus. Mae enw gwesteiwr cyhoeddus yn datrys i gyfeiriad WAN ac yn mynd ar hyd llwybr gwahanol, hyd yn oed pan fydd un peiriant yn ateb ar y ddau.

rsync --list-only rsync://10.44.0.1/archive/

Modd plisgyn pell: SSH sy’n cario’r trosglwyddiad

Gyda cholon sengl, mae rsync yn cychwyn rhaglen plisgyn pell ac yn siarad ei phrotocol dros y sianel honno, felly’r unig wasanaeth y gellir ei gyrraedd yw SSH ar ba bynnag borth y mae’r gweinydd yn gwrando arno. Nid yw daemon rsync byth yn rhedeg, mae porth 873 yn amherthnasol, ac mae’r penderfyniad mynediad yn dod yn benderfyniad cyfrif SSH. Y llwybr pell wedyn yw llwybr system ffeiliau go iawn a ddehonglir gan y plisgyn y pen draw. Dyna pam nad yw newid mur cadarn wedi’i anelu at 873 yn gwneud dim o gwbl ar gyfer y modd hwn.

Mae’r dyluniad hwnnw angen cyfrif awdurdodedig a dilysu allwedd gwesteiwr, ac mae’n etifeddu polisi dilysu SSH ei hun. Yn aml dyma’r dewis gwell pan fydd rhaid i’r trosglwyddiad groesi rhwydwaith anniogel, oherwydd mae’r amgryptio’n perthyn i brotocol a adeiladwyd ar ei gyfer. Nid yw daemon sy’n gofyn am gyfrinair yr un peth.

Agorwch yn unig y llwybr a ddewisoch

Unwaith y bydd y modd wedi’i setlo, caniatéwch yr un gwasanaeth mewnol ar yr un rhyngwyneb sy’n cario’r twnnel. Cyfyngwch y rheol yn ôl rhyngwyneb, cronfa ffynhonnell a chyfeiriad cyrchfan fel na all newid gwrthod diofyn yn ddiweddarach ei lledaenu’n dawel. Adolygwch drefn y rheolau wedyn, oherwydd mae rheol ganiatäol yn gynharach yn y gadwyn yn gwneud yr un gul yn addurnol.

Os yw’r daemon yn rhedeg ar beiriant y tu ôl i borth VPN yn hytrach nag ar y porth ei hun, mae angen llwybr anfon ar y porth hefyd ac mae angen caniatâd a llwybr dychwelyd ei hun ar y targed. Mae agor y porth ar y porth yn unig yn cynhyrchu cysylltiad a dderbynnir ac sy’n mynd i unman wedyn.

Gwirwch o’r cleient gyda’r un modd a chyrchfan y bwriedwch eu defnyddio mewn cynhyrchu. Mae rhestr lwyddiannus yn profi’r gwrandawr, y llwybr a’r rheol gyda’i gilydd; mae goramser yn cyfeirio at y llwybr, ac mae gwrthodiad yn cyfeirio at y gwrandawr.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873