SSH bastion või otsene VPN-juurdepääs: milline poliitika kehtib?

Küsimus, kas VPN-i kasutajad pääsevad serveritesse ilma hüppehosti läbimata, on võrguriietes poliitikaküsimus. Kui bastion täidab nõutavat kontrolli, peab VPN-iga liitumine viima selle juurde, mitte sellest mööda. Kui hüppehost ühendas vaid lõiku, mis varem oli kättesaamatu, võib kitsas otsene tee olla aus asendus. Tehke allolevad kontrollid järjekorras ja peatuge esimese juures, mis ebaõnnestub, sest see vastus otsustab ülejäänu.

Kontrollige, mida bastion tegelikult kontrollib

Alustage tõenditest oleviku kohta, mitte projektdokumendi diagrammist. Vaadake sihtkoha SSH-konfiguratsiooni ja paketifiltrit: kui sissetulev port 22 võetakse vastu ainult bastioni aadressilt, on hüppehost kehtestatud kontroll. Kui sama port võtab ühendusi vastu kogu VPN-i poolist, oli bastion mugavus ja jõustamine elab hoopis mujal. Piletiajalugu kinnitab tavaliselt, kumb kahest varem olemas oli.

Sõnastage leid ühe lausega, mis nimetab kontrolli, mida bastion pakub: sihtkoha piiramine, teine autentimissamm, seansi salvestamine või operatiivne nähtavus intsidendi ajal. Just seda lauset peab asenduspoliitika säilitama.

Kontrollige, kas sihtkoht eristab teid

Lähteaadressi reeglid töötavad ainult seni, kui kaks teed saabuvad erinevate lähteaadressidega. VPN-lüüs, mis maskeerib liiklust serveri alavõrku, kustutab selle erinevuse ja siis näib iga ühendus pordile 22 tulevat lüüsist. Kontroll on sihtkohas kohalik ja võtab hetke: loetlege loodud SSH-seansid ja lugege igaühe vastaspoole aadress.

Kui mõlemad teed langevad kokku üheks aadressiks, tuleb eristus teha varem, selle järgi, milliseid sihtkohti tohib VPN saata, ja lüüsi enda filtrite järgi. Reegli lisamine sihtkohta sellises olukorras loob piiri illusiooni, muutmata seda, mis saabub.

Kontrollige, mida iga kirje tegelikult sisaldab

Kolm erinevat logi kirjeldavad kolme erinevat sündmust ja ükski ei asenda teist. VPN-i ühenduse kirje näitab, et identiteet astus võrgu ulatusse. Bastioni edastuskirje näitab TCP-kanalit, mis lahkub sealt sihtkoha ja pordi poole. Sihtkoha autentimislogi näitab, et konto logis sisse SSH kaudu. Just koos lugemine loob ajajoone; üksinda lugemine loob oletuse.

Ükski neist kirjetest ei sisalda seda, mis juhtus kliendi ja sihtkoha vahelises krüpteeritud seansis. Kui käskude tasandil ülevaatus on nõue, vajab see teadlikult juurutatud salvestusmehhanismi oma andmetöötlusreeglitega. Seda hüppehosti logidest oodata on viis, kuidas auditilünk jääb peidetuks, kuni sellest hakatakse hoolima.

Kontrollige, kus poliitikat tegelikult rakendatakse

Kliendi säte nagu ProxyJump on palve, mitte piirang. OpenSSH avab hea meelega otsese ühenduse, kui sihtkoht on kättesaadav, seega sülearvutite konfiguratsioonifailid kirjeldavad kavatsust, samal ajal kui tulemüürid otsustavad tulemuse. Jõustamine kuulub VPN-lüüsi lubatud sihtkohtade ja sihtkoha enda juurdepääsureeglite juurde ning kasutaja ei saa kumbagi muuta. Auditeerige samal ajal alternatiivseid teid: teine liides, avalik kuulaja, mesh-kiht või vanem saidiülene tunnel võivad igaüks taastada just suletud otsetee.

Seadistage ProxyJump siiski, sest see teeb kinnitatud marsruudi lihtsaks ja hoiab rutiinset tööd erandeid tekitamast. Kinnitage, mida klient tegelikult lahendab, enne kui seda usaldate.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Kontrollige teadliku otsese katsega

Poliitika, mida pole kunagi testitud, on lootus. VPN-iga ühendatud kliendist proovige teed, mis peaks nüüd tagasi lükatama, seejärel proovige kinnitatud teed ja hoidke mõlemad tulemused. Tagasilükatud katse on tõend, et muudatus jõustus.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Puhas tulemus näeb välja nagu tagasilükatud või aegunud otsene ühendus sihtkoha aadressile, millele järgneb edukas sisselogimine hüppehosti ja sihtkoha poolel autentimiskirje, mis nimetab toetatud allikat. Mis tahes muu tähendab, et piir on endiselt poorne, ükskõik mida dokumentatsioon väidab. Kirjutage üles kuupäev, muudetud reegel ja mõlemad tulemused, seejärel andke taasteteekonnale omanik ja aegumiskuupäev et hädaolukorra juurdepääs ei muutuks vaikselt igapäevaseks marsruudiks.