rsync VPN-i kaudu: deemoniport 873 versus SSH-režiim

TCP 873 lubamine tunneli liidesel ei sunni rsynci läbi OpenVPN, ega pane vastaspoolt moodulit vastu võtma. Tunnel kannab sisemist ühendust, mille protokolli- ja sihtreeglid jäävad täpselt sellisteks, nagu need olid. Seega pole esimene küsimus, millist porti avada, vaid millist tüüpi ühenduse rsync loob. Kõik alljärgnev eeldab, et tunnel on juba püsti ja kahtlane on ainult sisemine teenus.

Otsustage, millise ühenduse rsync tegelikult loob

Kaugargument käsus vastab sellele küsimusele tavaliselt enne igasugust tulemüüri muudatust. Topeltkoolon või URL-i skeem valib deemoni, samas kui üksik koolon pärast hostinime valib kaugkesta. Lugege argumenti, mida te tegelikult käivitate, mitte seda, mis on dokumentatsiooni näites.

Selgesõnaline kaugkesta valik võib vastust taas muuta, sest see ütleb rsyncile, millist programmi transpordi jaoks käivitada. Lugege kogu käsurida, sealhulgas päritud mähiskriptid, mitte ainult hosti osa.

Deemonirežiim: sidumisaadress, moodul ja port

Deemoni süntaksis nimetab teelõik konfigureeritud moodulit, mitte kettal asuvat kataloogi. Mooduli parooli kontrollitakse alles pärast ühenduse vastuvõtmist ja moodul võib lisaks olla kirjutuskaitstud või loendist peidetud. See järjekord on oluline veateate lugemisel, sest tagasi lükatud ühendus ja tagasi lükatud moodul on tõrked kahes erinevas etapis. Kumbki teade ei ütle teile tunneli enda kohta midagi.

Eraldiseisva deemoni saab selle konfiguratsioonifailis tunneli aadressi külge kinnitada, mis hoiab selle ilma ühegi tulemüürireeglita avalikust liidesest eemal. Väärtus peab deemoni sidumise hetkel olemas olema ja soketiga aktiveeritud või inetd-hallatav kuulaja võib selle täiesti tähelepanuta jätta.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Seejärel testige privaatse aadressi, mitte avaliku nime vastu. Avalik hostinimi laheneb WAN-aadressiks ja läbib teise tee, isegi kui üks masin vastab mõlemale.

rsync --list-only rsync://10.44.0.1/archive/

Kaugkesta režiim: SSH kannab ülekannet

Üksiku kooloniga käivitab rsync kaugkesta programmi ja räägib selle protokolli selle kanali kaudu, nii et ainus kättesaadav teenus on SSH mis tahes pordil, millel server kuulab. rsynci deemon ei tööta kunagi, port 873 on asjakohatu ja juurdepääsuotsusest saab SSH-konto otsus. Kaugtee on siis tõeline failisüsteemi tee, mida teisel pool kest tõlgendab. Seetõttu ei tee 873-le suunatud tulemüüri muudatus selle režiimi jaoks üldse midagi.

See lahendus vajab volitatud kontot ja hostivõtme kontrollimist, ning pärib SSH enda autentimispoliitika. Sageli on see parem valik, kui ülekanne peab läbima ebausaldusväärset võrku, sest krüpteerimine kuulub protokolli juurde, mis selleks loodi. Parooli küsinud deemon ei ole sama asi.

Avage ainult tee, mille te valisite

Kui režiim on otsustatud, lubage ainus sisemine teenus sellel ainsal liidesel, mis tunnelit kannab. Piirake reeglit liidese, lähtepargi ja sihtaadressi järgi, et hilisem vaikimisi keelava reegli muudatus ei saaks seda vaikselt laiendada. Seejärel vaadake reeglite järjekord üle, sest lubav reegel ahelas varem muudab kitsa reegli ainult dekoratiivseks.

Kui deemon töötab VPN-lüüsi taga oleval masinal, mitte lüüsil endal, vajab lüüs ka edastusteed ning siht oma luba ja tagasiteed. Pordi avamine ainult lüüsil annab ühenduse, mis võetakse vastu ja ei lähe seejärel kuhugi.

Kontrollige kliendist sama režiimi ja sihiga, mida kavatsete tootmises kasutada. Edukas loend tõestab kuulajat, teed ja reeglit koos; aegumine osutab teele ja keeldumine kuulajale.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873