SSH-bastiono aŭ rekta VPN-aliro: kiu politiko validas?

Ĉu VPN-uzantoj povas atingi servilojn sen trapasi saltan gastiganton estas demando pri politiko en reta kostumo. Se la bastiono plenumas postulatan kontrolon, tiam aliĝo al la VPN devas konduki al ĝi, ne preter ĝi. Se la salta gastiganto nur pontis segmenton, kiu antaŭe estis neatingebla, mallarĝa rekta vojo povas esti la honesta anstataŭigo. Trapasu la subajn kontrolojn laŭ ordo kaj haltu ĉe la unua malsukcesa, ĉar tiu respondo decidas la ceteron.

Kontrolu, kion la bastiono efektive regas

Komencu per pruvoj pri la nuntempo, ne per diagramo el la projekta dokumento. Rigardu la SSH-agordon kaj la pakaĵan filtrilon de la celo: se envena pordo 22 estas akceptata nur de la adreso de la bastiono, la salta gastiganto estas trudita kontrolo. Se la sama pordo akceptas konektojn el la tuta VPN-aro, la bastiono estis komfortaĵo kaj la trudado loĝas tute aliloke. Bileta historio kutime konfirmas, kiu el la du ekzistis unue.

Esprimu la konstaton per unu frazo nomante la kontrolon, kiun la bastiono provizas: cellimigo, dua aŭtentiga paŝo, sesia registrado aŭ operacia videbleco dum incidento. Ĝuste tiun frazon la anstataŭa politiko devas konservi.

Kontrolu, ĉu la celo povas distingi la vojojn

Reguloj pri fonta adreso funkcias nur dum la du vojoj alvenas kun malsamaj fontaj adresoj. VPN-pordego, kiu maskas trafikon al la servila subreto, forviŝas tiun diferencon, kaj tiam ĉiu konekto al pordo 22 ŝajnas veni de la pordego. La kontrolo estas loka ĉe la celo kaj daŭras momenton: listigu la establitajn SSH-sesiojn kaj legu la kunulan adreson por ĉiu.

Kiam ambaŭ vojoj kolapsas en unu adreson, la distingo devas esti farita pli frue, per la celoj, kiujn la VPN rajtas puŝi, kaj per la propraj filtriloj de la pordego. Aldoni regulon ĉe la celo en tia situacio kreas iluzion de limo sen ŝanĝi tion, kio alvenas.

Kontrolu, kion ĉiu registro efektive tenas

Tri malsamaj protokoloj priskribas tri malsamajn eventojn, kaj neniu anstataŭas alian. La konekta registro de la VPN montras, ke identeco eniris la retan amplekson. La plusendada registro de la bastiono montras TCP-kanalon forlasantan ĝin al celo kaj pordo. La aŭtentiga protokolo de la celo montras, ke konto ensalutis per SSH. Legi ilin kune produktas templinion; legi unu sola produktas konjekton.

Neniu el tiuj registroj enhavas, kio okazis ene de la ĉifrita sesio inter kliento kaj celo. Se revizio je komanda nivelo estas postulo, ĝi bezonas intence instalitan registran mekanismon kun propraj reguloj pri datumtrakto. Atendi tion de protokoloj de la salta gastiganto estas la maniero, kiel revizia breĉo restas kaŝita ĝis ĝi gravas.

Kontrolu, kie la politiko efektive estas trudata

Klienta agordo kiel ProxyJump estas peto, ne limigo. OpenSSH volonte malfermos rektan konekton, kiam la celo estas atingebla, do agordaj dosieroj sur tekkomputiloj priskribas intencon, dum fajroŝirmiloj decidas la rezulton. Trudado apartenas al la permesitaj celoj de la VPN-pordego kaj al la propraj alirreguloj de la celo, kaj nek unu nek la alian la uzanto povas redakti. Samtempe reviziu la alternativajn vojojn: dua interfaco, publika aŭskultanto, mesh-tavolo aŭ pli malnova loko-al-loka tunelo povas ĉiu restarigi la fuĝvojon, kiun vi ĵus fermis.

Ĉiukaze agordu ProxyJump, ĉar ĝi faras la aprobitan vojon la facila kaj malhelpas, ke rutina laboro generu esceptojn. Konfirmu, kion la kliento efektive solvas, antaŭ ol fidi ĝin.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Kontrolu per intenca rekta provo

Politiko, kiu neniam estis testita, estas espero. De kliento ligita al la VPN, provu la vojon, kiu nun devus esti rifuzata, poste provu la aprobitan, kaj konservu ambaŭ rezultojn. La rifuzita provo estas la pruvo, ke la ŝanĝo ekvalidis.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Pura rezulto aspektas kiel rifuzita aŭ tempolimite finiĝinta rekta konekto al la cela adreso, sekvata de sukcesa ensaluto al la salta gastiganto kaj aŭtentiga rikordo ĉe la cela flanko nomante la subtenatan fonton. Io ajn alia signifas, ke la limo ankoraŭ estas trairebla, kion ajn diras la dokumentaro. Notu la daton, la ŝanĝitan regulon kaj la du rezultojn, kaj poste donu al la rekupera vojo posedanton kaj findaton por ke eksterordinara aliro ne silente fariĝu la ĉiutaga vojo.