rsync μέσω VPN: θύρα δαίμονα 873 έναντι λειτουργίας SSH

Η θύρα 873 είναι μια εσωτερική υπηρεσία που μεταφέρει η σήραγγα, όχι υποκατάστατό της. Διακρίνετε τη λειτουργία δαίμονα από τη λειτουργία SSH και μετά ανοίξτε μόνο τη διαδρομή που χρησιμοποιείτε πραγματικά.

Το να επιτρέψετε TCP 873 στη διασύνδεση της σήραγγας δεν σπρώχνει το rsync μέσα από OpenVPN, ούτε κάνει το απέναντι άκρο να δεχτεί τη μονάδα. Μια σήραγγα μεταφέρει μια εσωτερική σύνδεση της οποίας οι κανόνες πρωτοκόλλου και προορισμού μένουν ακριβώς όπως ήταν. Επομένως το πρώτο ερώτημα δεν είναι ποια θύρα θα ανοίξει, αλλά τι είδους σύνδεση κάνει το rsync. Όλα τα παρακάτω προϋποθέτουν ότι η σήραγγα είναι ήδη ενεργή και ότι μόνο η εσωτερική υπηρεσία αμφισβητείται ακόμη.

Αποφασίστε ποια σύνδεση κάνει στην πραγματικότητα το rsync

Το απομακρυσμένο όρισμα στην εντολή συνήθως απαντά σε αυτό το ερώτημα πριν από οποιαδήποτε αλλαγή στο τείχος προστασίας. Διπλή άνω κάτω τελεία ή σχήμα URL επιλέγει τον δαίμονα, ενώ μία μόνο άνω κάτω τελεία μετά από όνομα κεντρικού υπολογιστή επιλέγει απομακρυσμένο κέλυφος. Διαβάστε το όρισμα που εκτελείτε πραγματικά, όχι αυτό του παραδείγματος στην τεκμηρίωση.

Μια ρητή επιλογή απομακρυσμένου κελύφους μπορεί να αλλάξει ξανά την απάντηση, γιατί λέει στο rsync ποιο πρόγραμμα να εκκινήσει για τη μεταφορά. Διαβάστε ολόκληρη τη γραμμή εντολών, μαζί με τα κληρονομημένα σενάρια περιτύλιξης, όχι μόνο το τμήμα του κεντρικού υπολογιστή.

Remote argumentWhat it opens
rsync://vault.corp.internal/archive/rsync daemon, normally TCP 873
vault.corp.internal::archive/rsync daemon, normally TCP 873
[email protected]:/srv/archive/Remote shell, normally SSH on its configured port

Λειτουργία δαίμονα: διεύθυνση δέσμευσης, μονάδα και θύρα

Στη σύνταξη του δαίμονα, το τμήμα διαδρομής ονομάζει μια ρυθμισμένη μονάδα, όχι έναν κατάλογο στον δίσκο. Ένας κωδικός πρόσβασης μονάδας ελέγχεται μόνο αφού γίνει δεκτή η σύνδεση, και η μονάδα μπορεί επιπλέον να είναι μόνο για ανάγνωση ή κρυμμένη από την καταχώριση. Αυτή η σειρά έχει σημασία όταν διαβάζετε ένα σφάλμα, γιατί μια απορριφθείσα σύνδεση και μια απορριφθείσα μονάδα είναι αποτυχίες σε δύο διαφορετικά στάδια. Κανένα από τα δύο μηνύματα δεν σας λέει τίποτα για την ίδια τη σήραγγα.

Ένας αυτόνομος δαίμονας μπορεί να καρφιτσωθεί στη διεύθυνση της σήραγγας στο αρχείο ρυθμίσεών του, κάτι που τον κρατά έξω από τη δημόσια διασύνδεση χωρίς κανέναν κανόνα τείχους προστασίας. Η τιμή πρέπει να υπάρχει όταν δεσμεύεται ο δαίμονας, και ένας ακροατής που ενεργοποιείται από υποδοχή ή διαχειρίζεται το inetd μπορεί να την αγνοήσει εντελώς.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Έπειτα δοκιμάστε στη διεύθυνση του ιδιωτικού δικτύου και όχι στο δημόσιο όνομα. Ένα δημόσιο όνομα κεντρικού υπολογιστή αναλύεται σε διεύθυνση WAN και ακολουθεί διαφορετική διαδρομή, ακόμη και όταν ένα μηχάνημα απαντά και στα δύο.

rsync --list-only rsync://10.44.0.1/archive/

Λειτουργία απομακρυσμένου κελύφους: το SSH μεταφέρει τη μεταφορά

Με μία μόνο άνω κάτω τελεία, το rsync ξεκινά ένα πρόγραμμα απομακρυσμένου κελύφους και μιλά το πρωτόκολλό του μέσα από αυτό το κανάλι, οπότε η μόνη προσβάσιμη υπηρεσία είναι το SSH σε όποια θύρα ακούει ο διακομιστής. Ο δαίμονας του rsync δεν εκτελείται ποτέ, η θύρα 873 είναι άσχετη, και η απόφαση πρόσβασης γίνεται απόφαση λογαριασμού SSH. Η απομακρυσμένη διαδρομή είναι τότε μια πραγματική διαδρομή συστήματος αρχείων που ερμηνεύει το κέλυφος στην άλλη πλευρά. Γι’ αυτό μια αλλαγή στο τείχος προστασίας με στόχο το 873 δεν κάνει απολύτως τίποτα για αυτή τη λειτουργία.

Αυτός ο σχεδιασμός απαιτεί εξουσιοδοτημένο λογαριασμό και επαλήθευση κλειδιού κεντρικού υπολογιστή, και κληρονομεί την πολιτική ταυτοποίησης του ίδιου του SSH. Είναι συχνά η καλύτερη επιλογή όταν η μεταφορά πρέπει να διασχίσει μη αξιόπιστο δίκτυο, γιατί η κρυπτογράφηση ανήκει σε πρωτόκολλο που φτιάχτηκε γι’ αυτό. Ένας δαίμονας με προτροπή κωδικού δεν είναι το ίδιο πράγμα.

Ανοίξτε μόνο τη διαδρομή που επιλέξατε

Μόλις καθοριστεί η λειτουργία, επιτρέψτε τη μία εσωτερική υπηρεσία στη μία διασύνδεση που μεταφέρει τη σήραγγα. Περιορίστε τον κανόνα κατά διασύνδεση, ομάδα προέλευσης και διεύθυνση προορισμού, ώστε μια μεταγενέστερη αλλαγή εξ ορισμού απόρριψης να μην μπορεί να τον διευρύνει σιωπηλά. Ελέγξτε μετά τη σειρά των κανόνων, γιατί ένας κανόνας που επιτρέπει νωρίτερα στην αλυσίδα κάνει τον στενό κανόνα διακοσμητικό.

Αν ο δαίμονας εκτελείται σε μηχάνημα πίσω από την πύλη VPN και όχι στην ίδια την πύλη, η πύλη χρειάζεται επίσης διαδρομή προώθησης και ο στόχος χρειάζεται τη δική του άδεια και διαδρομή επιστροφής. Το άνοιγμα της θύρας μόνο στην πύλη παράγει μια σύνδεση που γίνεται δεκτή και έπειτα δεν πηγαίνει πουθενά.

Επαληθεύστε από τον πελάτη με την ίδια λειτουργία και προορισμό που σκοπεύετε να χρησιμοποιήσετε στην παραγωγή. Μια επιτυχημένη καταχώριση αποδεικνύει μαζί τον ακροατή, τη διαδρομή και τον κανόνα· μια λήξη χρόνου δείχνει τη διαδρομή, και μια άρνηση δείχνει τον ακροατή.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873

Σχετικά άρθρα