Bastion SSH neu fynediad VPN uniongyrchol: pa bolisi sy’n gymwys?

Mae pa un a all defnyddwyr VPN gyrraedd gweinyddwyr heb groesi gwesteiwr neidio yn gwestiwn polisi mewn gwisg rwydweithio. Os yw’r bastion yn cyflawni rheolaeth ofynnol, yna mae ymuno â’r VPN yn gorfod arwain ato yn hytrach nag o’i amgylch. Os nad oedd y gwesteiwr neidio ond yn pontio segment a oedd yn annghyrraeddadwy o’r blaen, gall llwybr uniongyrchol cul fod yn ddisodliad gonest. Gweithiwch drwy’r gwiriadau isod yn eu trefn a stopiwch ar yr un cyntaf sy’n methu, oherwydd yr ateb hwnnw sy’n penderfynu’r gweddill.

Gwiriwch beth mae’r bastion yn ei reoli mewn gwirionedd

Dechreuwch â thystiolaeth am y presennol, nid â diagram o’r ddogfen ddylunio. Edrychwch ar gyfluniad SSH a hidlydd pecynnau’r targed: os yw porth 22 y mewnlifiad yn cael ei dderbyn dim ond o gyfeiriad y bastion, mae’r gwesteiwr neidio yn rheolaeth orfodedig. Os yw’r un porth yn derbyn cysylltiadau o’r pwll VPN cyfan, roedd y bastion yn gyfleustra ac mae’r gorfodi yn byw yn rhywle hollol arall. Mae hanes tocynnau fel arfer yn cadarnhau pa un o’r ddau a fodolai gyntaf.

Dywedwch y canfyddiad mewn un frawddeg sy’n enwi’r rheolaeth y mae’r bastion yn ei darparu: cyfyngiad cyrchfan, ail gam dilysu, recordio sesiwn, neu welededd weithredol yn ystod digwyddiad. Y frawddeg honno yw’r hyn y mae’n rhaid i’r polisi disodli ei gadw.

Gwiriwch a all y targed wahaniaethu’r llwybrau

Dim ond tra bo’r ddau lwybr yn cyrraedd â chyfeiriadau ffynhonnell gwahanol y mae rheolau cyfeiriad ffynhonnell yn gweithio. Mae porth VPN sy’n cuddio traffig i is-rwydwaith y gweinyddwyr yn dileu’r gwahaniaeth hwnnw, ac yna mae pob cysylltiad â phorth 22 yn ymddangos fel pe bai’n dod o’r porth. Mae’r gwiriad yn lleol i’r targed ac yn cymryd munud: rhestrwch y sesiynau SSH sefydledig a darllenwch gyfeiriad y cymar ar gyfer pob un.

Pan fydd y ddau lwybr yn cydlifo i un cyfeiriad, rhaid gwneud y gwahaniaeth yn gynharach, drwy ba gyrchfannau y caniateir i’r VPN eu gwthio a thrwy hidlwyr y porth ei hun. Mae ychwanegu rheol ar y targed yn y sefyllfa honno yn creu rhith ffin heb newid yr hyn sy’n cyrraedd.

Gwiriwch beth mae pob cofnod yn ei ddal mewn gwirionedd

Mae tri chofnod gwahanol yn disgrifio tri digwyddiad gwahanol, ac nid oes yr un ohonynt yn cymryd lle’r llall. Mae cofnod cysylltiad y VPN yn dangos bod hunaniaeth wedi mynd i mewn i’r cwmpas rhwydwaith. Mae cofnod anfon ymlaen y bastion yn dangos sianel TCP yn ei adael tuag at gyrchfan a phorth. Mae cofnod dilysu’r targed yn dangos bod cyfrif wedi mewngofnodi dros SSH. Darllen gyda’i gilydd sy’n cynhyrchu llinell amser; darllen un yn unig sy’n cynhyrchu dyfaliad.

Nid oes yr un o’r cofnodion hynny yn cynnwys yr hyn a ddigwyddodd y tu mewn i’r sesiwn amgryptiedig rhwng cleient a tharged. Os yw adolygiad ar lefel gorchymyn yn ofyniad, mae angen mecanwaith recordio a osodwyd yn fwriadol gyda’i reolau ei hun ar drin data. Disgwyl hynny o gofnodion gwesteiwr neidio yw sut y mae bwlch archwilio’n aros yn gudd nes iddo fod o bwys.

Gwiriwch ble mae’r polisi yn cael ei orfodi mewn gwirionedd

Mae gosodiad cleient fel ProxyJump yn gais, nid yn gyfyngiad. Bydd OpenSSH yn agor cysylltiad uniongyrchol yn fodlon pan fydd y gyrchfan yn gyrraeddadwy, felly mae ffeiliau cyfluniad ar liniaduron yn disgrifio bwriad tra bo waliau tân yn penderfynu canlyniadau. Mae gorfodi’n perthyn i gyrchfannau a ganiateir porth VPN ac i reolau mynediad y targed ei hun, ac ni all defnyddiwr olygu’r naill na’r llall. Archwiliwch y llwybrau amgen ar yr un pryd: gall ail ryngwyneb, gwrandäwr cyhoeddus, haen mesh neu dwnnel hen safle-i-safle adfer y llwybr byr yr ydych newydd ei gau.

Ffurfweddwch ProxyJump beth bynnag, oherwydd mae’n gwneud y llwybr a gymeradwywyd yn un hawdd ac yn atal gwaith arferol rhag cynhyrchu eithriadau. Cadarnhewch beth y mae’r cleient yn ei ddatrys mewn gwirionedd cyn ymddiried ynddo.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Gwiriwch ag ymgais uniongyrchol fwriadol

Mae polisi na chafodd ei brofi erioed yn obaith. O gleient sydd wedi’i gysylltu â’r VPN, rhowch gynnig ar y llwybr y dylid ei wrthod nawr, yna rhowch gynnig ar yr un a gymeradwywyd, a chadwch y ddau ganlyniad. Yr ymgais a wrthodwyd yw’r dystiolaeth bod y newid wedi dod i rym.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Mae canlyniad glân yn edrych fel cysylltiad uniongyrchol a wrthodwyd neu a gafodd ei amseru allan i gyfeiriad y targed, wedi’i ddilyn gan fewngofnodi llwyddiannus i’r gwesteiwr neidio a chofnod dilysu ar ochr y targed yn enwi’r ffynhonnell a gefnogir. Mae unrhyw beth arall yn golygu bod y ffin yn dal yn fandyllog, beth bynnag y mae’r ddogfennaeth yn ei ddweud. Cofnodwch y dyddiad, y rheol a newidiwyd a’r ddau ganlyniad, yna rhowch berchennog a dyddiad dod i ben i’r llwybr adfer fel nad yw mynediad brys yn troi’n dawel yn llwybr bob dydd.