Bastion SSH ή άμεση πρόσβαση VPN: ποια πολιτική ισχύει;

Το αν οι χρήστες VPN μπορούν να φτάνουν σε διακομιστές χωρίς να περνούν από έναν ενδιάμεσο κόμβο είναι ζήτημα πολιτικής με στολή δικτύου. Αν το bastion εκτελεί απαιτούμενο έλεγχο, τότε η σύνδεση στο VPN πρέπει να οδηγεί σε αυτό και όχι γύρω του. Αν ο ενδιάμεσος κόμβος απλώς γεφύρωνε ένα τμήμα που ήταν παλιά απρόσιτο, μια στενή άμεση διαδρομή μπορεί να είναι η έντιμη αντικατάσταση. Εκτελέστε τους ελέγχους παρακάτω με σειρά και σταματήστε στον πρώτο που αποτυγχάνει, γιατί αυτή η απάντηση καθορίζει τα υπόλοιπα.

Ελέγξτε τι ελέγχει πραγματικά το bastion

Ξεκινήστε με στοιχεία για το παρόν, όχι με διάγραμμα από το έγγραφο σχεδιασμού. Κοιτάξτε τη διαμόρφωση SSH και το φίλτρο πακέτων του στόχου: αν η εισερχόμενη θύρα 22 γίνεται δεκτή μόνο από τη διεύθυνση του bastion, ο ενδιάμεσος κόμβος είναι επιβεβλημένος έλεγχος. Αν η ίδια θύρα δέχεται συνδέσεις από ολόκληρη τη δεξαμενή VPN, το bastion ήταν ευκολία και η επιβολή ζει κάπου εντελώς αλλού. Το ιστορικό αιτημάτων συνήθως επιβεβαιώνει ποιο από τα δύο υπήρξε πρώτο.

Διατυπώστε το εύρημα σε μία πρόταση που ονομάζει τον έλεγχο που παρέχει το bastion: περιορισμός προορισμού, δεύτερο βήμα ταυτοποίησης, καταγραφή συνεδρίας ή επιχειρησιακή ορατότητα κατά τη διάρκεια περιστατικού. Αυτή η πρόταση είναι ό,τι πρέπει να διατηρήσει η πολιτική αντικατάστασης.

Ελέγξτε αν ο στόχος ξεχωρίζει τις διαδρομές

Οι κανόνες διεύθυνσης προέλευσης λειτουργούν μόνο όσο οι δύο διαδρομές φτάνουν με διαφορετικές διευθύνσεις προέλευσης. Μια πύλη VPN που κρύβει την κίνηση προς το υποδίκτυο διακομιστών σβήνει αυτή τη διαφορά, και τότε κάθε σύνδεση στη θύρα 22 φαίνεται να έρχεται από την πύλη. Ο έλεγχος είναι τοπικός στον στόχο και διαρκεί μια στιγμή: καταγράψτε τις ενεργές συνεδρίες SSH και διαβάστε τη διεύθυνση του ομότιμου για καθεμία.

Όταν και οι δύο διαδρομές συμπίπτουν σε μία διεύθυνση, η διάκριση πρέπει να γίνει νωρίτερα, από τους προορισμούς που επιτρέπεται να ωθεί το VPN και από τα φίλτρα της ίδιας της πύλης. Η προσθήκη κανόνα στον στόχο σε αυτή την κατάσταση δημιουργεί την ψευδαίσθηση ορίου χωρίς να αλλάζει τι φτάνει.

Ελέγξτε τι κρατά πραγματικά κάθε αρχείο

Τρία διαφορετικά αρχεία καταγραφής περιγράφουν τρία διαφορετικά γεγονότα και κανένα δεν υποκαθιστά το άλλο. Η εγγραφή σύνδεσης του VPN δείχνει ότι μια ταυτότητα μπήκε στο πεδίο δικτύου. Η εγγραφή προώθησης του bastion δείχνει ένα κανάλι TCP να το εγκαταλείπει προς προορισμό και θύρα. Το αρχείο ταυτοποίησης του στόχου δείχνει ότι ένας λογαριασμός συνδέθηκε μέσω SSH. Η ανάγνωσή τους μαζί παράγει χρονολόγιο· η ανάγνωση ενός μόνο παράγει εικασία.

Κανένα από αυτά τα αρχεία δεν περιέχει τι συνέβη μέσα στην κρυπτογραφημένη συνεδρία μεταξύ πελάτη και στόχου. Αν η εξέταση σε επίπεδο εντολών είναι απαίτηση, χρειάζεται μηχανισμός καταγραφής που αναπτύχθηκε σκόπιμα, με δικούς του κανόνες διαχείρισης δεδομένων. Το να το περιμένει κανείς από αρχεία του ενδιάμεσου κόμβου είναι ο τρόπος που ένα κενό ελέγχου μένει κρυφό μέχρι να μετρήσει.

Ελέγξτε πού επιβάλλεται πραγματικά η πολιτική

Μια ρύθμιση πελάτη όπως το ProxyJump είναι αίτημα, όχι περιορισμός. Το OpenSSH ανοίγει πρόθυμα άμεση σύνδεση όταν ο προορισμός είναι προσβάσιμος, οπότε τα αρχεία διαμόρφωσης στους φορητούς περιγράφουν πρόθεση, ενώ τα τείχη προστασίας αποφασίζουν το αποτέλεσμα. Η επιβολή ανήκει στους επιτρεπόμενους προορισμούς της πύλης VPN και στους κανόνες πρόσβασης του ίδιου του στόχου, και κανένα από τα δύο δεν μπορεί να επεξεργαστεί ο χρήστης. Ελέγξτε ταυτόχρονα τις εναλλακτικές διαδρομές: ένα δεύτερο interface, ένας δημόσιος listener, ένα overlay mesh ή μια παλιά σήραγγα μεταξύ τοποθεσιών μπορούν καθένα να αποκαταστήσει τη συντόμευση που μόλις κλείσατε.

Ρυθμίστε πάντως το ProxyJump, γιατί κάνει την εγκεκριμένη διαδρομή την εύκολη και εμποδίζει τη συνήθη εργασία να παράγει εξαιρέσεις. Επιβεβαιώστε τι επιλύει πραγματικά ο πελάτης πριν του δώσετε εμπιστοσύνη.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Επαληθεύστε με σκόπιμη άμεση απόπειρα

Πολιτική που δεν δοκιμάστηκε ποτέ είναι ελπίδα. Από πελάτη συνδεδεμένο στο VPN, δοκιμάστε τη διαδρομή που θα έπρεπε τώρα να απορριφθεί, μετά δοκιμάστε την εγκεκριμένη, και κρατήστε και τα δύο αποτελέσματα. Η απορριφθείσα απόπειρα είναι η απόδειξη ότι η αλλαγή τέθηκε σε ισχύ.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Ένα καθαρό αποτέλεσμα μοιάζει με άμεση σύνδεση που απορρίφθηκε ή έληξε λόγω χρόνου προς τη διεύθυνση του στόχου, ακολουθούμενη από επιτυχή σύνδεση στον ενδιάμεσο κόμβο και εγγραφή ταυτοποίησης στην πλευρά του στόχου που ονομάζει την υποστηριζόμενη προέλευση. Οτιδήποτε άλλο σημαίνει ότι το όριο είναι ακόμη πορώδες, ό,τι κι αν λέει η τεκμηρίωση. Καταγράψτε την ημερομηνία, τον κανόνα που άλλαξε και τα δύο αποτελέσματα, και δώστε στη διαδρομή ανάκαμψης έναν υπεύθυνο και ημερομηνία λήξης ώστε η πρόσβαση ανάγκης να μη γίνει σιωπηλά η καθημερινή διαδρομή.