Απομακρυσμένο SSH μέσω VPN: τι δεν κάνει η σήραγγα

Ένα VPN δίνει σε έναν διακομιστή SSH μια ιδιωτική διαδρομή και αφαιρεί την ανάγκη για δημόσιο ακροατή στη θύρα 22. Δεν επαληθεύει τον κεντρικό υπολογιστή, δεν εξουσιοδοτεί τον χρήστη και δεν αποφασίζει ποιοι λογαριασμοί μπορούν να συνδεθούν. Αυτά παραμένουν δουλειά του SSH. Το αν το VPN είναι ο σωστός τρόπος για να φτάσετε στον διακομιστή εξαρτάται από τρεις συνθήκες, και η σήραγγα είναι μόνο μία από τις πιθανές απαντήσεις.

Τι αλλάζει η σήραγγα και τι εξακολουθεί να αποφασίζει το SSH

Η σήραγγα αλλάζει την προσβασιμότητα: ποιες διευθύνσεις μπορούν να φτάσουν και από πού. Δεν αλλάζει τι συμβαίνει αφού φτάσει η σύνδεση TCP, όπου ο διακομιστής παρουσιάζει ένα κλειδί κεντρικού υπολογιστή και ζητά ταυτότητα χρήστη.

Κρατήστε τα δύο επίπεδα χωριστά στο μυαλό σας και στην τεκμηρίωσή σας. Μια σύνδεση VPN αποδεικνύει ποιος μπορεί να χρησιμοποιήσει το δίκτυο. Δεν λέει τίποτα για το ποιοι λογαριασμοί υπάρχουν στον στόχο, και δεν είναι άδεια σύνδεσης σε κάθε προσβάσιμο μηχάνημα.

Οι τρόποι αποτυχίας είναι επίσης χωριστοί, και αυτό κάνει τον διαχωρισμό χρήσιμο κατά τη διάρκεια ενός περιστατικού.

Τρεις συνθήκες που καθορίζουν το μοντέλο πρόσβασης

Πρώτον, πρέπει ο διακομιστής να είναι προσβάσιμος από άτομα εκτός του δικτύου σας; Αν όχι, μια ιδιωτική διαδρομή συν ένα οχυρό ή ένα πλέγμα είναι ο μικρότερος σχεδιασμός. Δεύτερον, μπορεί ο πληθυσμός των πελατών να εκτελέσει πραγματικά τον πελάτη VPN, συμπεριλαμβανομένων εκείνων σε διαχειριζόμενες συσκευές με περιορισμούς;

Τρίτον, χρειάζεστε έλεγχο ανά υπηρεσία ή έλεγχο ανά χρήστη; Ένα VPN παρέχει πρόσβαση δικτύου· το SSH παρέχει πρόσβαση λογαριασμού. Αν η απαίτηση είναι ένας εργολάβος να φτάνει σε έναν κεντρικό υπολογιστή και τίποτα άλλο, αυτή είναι απαίτηση εξουσιοδότησης και η σήραγγα μόνη της δεν μπορεί να την εκφράσει.

Απαντήστε σε αυτές τις τρεις και το μοντέλο επιλέγει τον εαυτό του. Παραλείψτε τις και καταλήγετε να εκθέτετε το SSH δημόσια για να αποφύγετε την ανάπτυξη του πελάτη.

Επιβεβαιώστε την ιδιωτική διαδρομή πριν κατηγορήσετε το SSH

Συνδεθείτε στο εγκεκριμένο VPN και χρησιμοποιήστε το τεκμηριωμένο ιδιωτικό όνομα ή τη διεύθυνση του στόχου. Στη συνέχεια ελέγξτε τη διαδρομή που επιλέχθηκε, την άδεια της πύλης και τη διαδρομή επιστροφής προς τον πελάτη. Ένα όνομα που επιλύεται σωστά δεν είναι απόδειξη ότι η διεύθυνση ακολουθεί τη σήραγγα που προορίζεται, επειδή επικαλυπτόμενα τοπικά και απομακρυσμένα προθέματα μπορούν να στείλουν το αίτημα εντελώς αλλού. Αυτή η διάκριση αξίζει να γραφτεί στο runbook.

Αν η σύνδεση δεν φτάσει ποτέ, επιβεβαιώστε ότι ο διακομιστής ακούει στη διεπαφή που περιμένετε και ότι το τείχος προστασίας του επιτρέπει την πηγή που βλέπει πραγματικά. Ένα NAT της πύλης μπορεί να ξαναγράψει αυτή την πηγή, οπότε μια λίστα επιτρεπόμενων που γράφτηκε για τη διεύθυνση σήραγγας του πελάτη μπορεί να μην ταιριάξει ποτέ.

Αυτή η αναντιστοιχία είναι η πιο συχνή αυτοπροκαλούμενη αποτυχία SSH μέσω VPN.

Διαβάστε το στάδιο αποτυχίας, όχι το συνδυασμένο σφάλμα

Τρία στάδια παράγουν τρία διαφορετικά μηνύματα, και μόνο ένα από αυτά αφορά διαπιστευτήρια.

Χρησιμοποιήστε το ακριβές σφάλμα και το αρχείο καταγραφής του ίδιου του διακομιστή αντί να επαναφέρετε ταυτόχρονα και τα διαπιστευτήρια VPN και SSH. Η επαναφορά και των δύο είναι ο τρόπος με τον οποίο μια πεντάλεπτη διάγνωση γίνεται περιστατικό ταυτότητας δύο ημερών.

Η αναλυτική έξοδος δείχνει σε ποιο στάδιο φτάσατε:

ssh -vv [email protected]

Διατηρήστε άθικτα τα κλειδιά υπολογιστή και την εξουσιοδότηση

Επικυρώστε το κλειδί του κεντρικού υπολογιστή μέσω της προβλεπόμενης αξιόπιστης διαδικασίας, ειδικά μετά την αντικατάσταση διακομιστή. Μια απροσδόκητη προειδοποίηση αλλαγμένου κλειδιού είναι το μόνο μήνυμα που δεν πρέπει να αγνοήσετε μόνο και μόνο επειδή συνδέθηκε το VPN, επειδή μια ιδιωτική σήραγγα δεν κάνει τον προορισμό το μηχάνημα που νομίζετε. Ελέγξτε το αποτύπωμα έναντι μιας πηγής που εμπιστεύεστε ανεξάρτητα από τη σύνδεση.

Από την πλευρά του διακομιστή, επιβεβαιώστε ότι ο λογαριασμός είναι εξουσιοδοτημένος και ότι η μέθοδος ελέγχου ταυτότητας που διαμορφώσατε είναι αυτή που προσφέρεται. Ένα κλειδί που υπάρχει αλλά αγνοείται είναι συνήθως πρόβλημα δικαιωμάτων ή διαμόρφωσης και όχι δικτύου.

Περιορίστε την πρόσβαση υπηρεσιών στις απαιτούμενες ταυτότητες και διατηρήστε μια εξουσιοδοτημένη διαδρομή ανάκτησης για αλλαγές δικτύου.