SSH urrunekoa VPN baten gainean: tunelak egiten ez duena
VPN batek SSH zerbitzari bat irisgarri egiten du eta ez du ezer gehiago egiten. Hiru baldintzek erabakitzen dute egokia den, eta hutsegite-faseak zein geruza den errudun erakusten du.
VPN batek SSH zerbitzari bati bide pribatu bat ematen dio eta 22 portuan entzule publiko baten beharra kentzen du. Ez du ostalaria autentifikatzen, ez du erabiltzailea baimetzen, eta ez du zein kontuk saioa hasi dezaketen erabakitzen. Hori SSHren lana izaten jarraitzen du. VPN bat zerbitzarira iristeko modu egokia den hiru baldintzaren araberakoa da, eta tunela erantzun posibleetako bat baino ez da.
Zer aldatzen du tunelak eta zer erabakitzen du SSHk oraindik
Tunelak irisgarritasuna aldatzen du: zein helbide irits daitezkeen eta nondik. Ez du aldatzen TCP konexioa iritsi ondoren gertatzen dena, non zerbitzariak ostalari-gako bat aurkezten duen eta erabiltzaile-identitatea eskatzen duen.
Mantendu bi geruzak bereizita zure buruan eta zure dokumentazioan. VPN saio-hasiera batek frogatzen du nork erabil dezakeen sarea. Ez du ezer esaten helburuan zein kontu dauden, eta ez da iristea posible den makina bakoitzean saioa hasteko baimena.
Hutsegite-moduak ere bereizita daude, eta hori da bereizketa erabilgarri egiten duena gorabehera batean.
Sarbide-eredua erabakitzen duten hiru baldintza
Lehenik, zerbitzariak zure saretik kanpoko pertsonentzat irisgarria izan behar du? Ez bada, bide pribatu bat gehi bastioi bat edo mesh bat diseinu txikiagoa da. Bigarrenik, bezeroen populazioak VPN bezeroa exekuta dezake benetan, murrizketak dituzten kudeatutako gailuetakoek barne?
Hirugarrenik, zerbitzu bakoitzeko kontrola edo erabiltzaile bakoitzeko kontrola behar duzu? VPN batek sare-irismena ematen du; SSHk kontu-sarbidea ematen du. Baldintza kontratista bat ostalari batera eta bestera ez iristea bada, hori baimen-baldintza bat da eta tunelak soilik ezin du adierazi.
Erantzun hiru horiei eta modeloak bere burua aukeratzen du. Saltatu itzazu eta SSH publikoki erakusten amaituko duzu bezeroaren hedapena saihesteko.
Egiaztatu bide pribatua SSH errudun egin aurretik
Konektatu onartutako VPNra eta erabili helburuaren dokumentatutako izen edo helbide pribatua. Gero egiaztatu hautatutako ibilbidea, atebidearen baimena eta bezerorako itzulera-bidea. Behar bezala ebatzi den izen bat ez da helbideak aurreikusitako tunela hartzen duen froga, tokiko eta urruneko aurrizki gainjarriek eskaera erabat beste leku batera bidal dezaketelako. Bereizketa hori runbookean idazteko merezi du.
Konexioa inoiz iristen ez bada, egiaztatu zerbitzaria espero duzun interfazean entzuten ari dela eta bere ostalari-suebakiak benetan ikusten duen iturria onartzen duela. Atebidearen NAT batek iturri hori berridatz dezake, beraz bezeroaren tunel-helbiderako idatzitako baimen-zerrenda batek inoiz bat ez etortzea gerta daiteke.
Desadostasun hori da VPN baten gainean gehien gertatzen den norberak eragindako SSH hutsegitea.
Irakurri hutsegite-fasea, ez errore konbinatua
Hiru fasek hiru mezu desberdin sortzen dituzte, eta horietako bat bakarrik da kredentzialei buruzkoa.
| Stage | What you see | What it points at |
|---|---|---|
| Before the connection | Timeout, no route | Tunnel, route or gateway permission |
| Connection refused | Immediate reset | Nothing listening, or a host firewall rejecting |
| Authentication | Permission denied after a prompt | User, key or server policy |
Erabili errore zehatza eta zerbitzariaren beraren erregistroa, VPN eta SSH kredentzialak batera berrezarri beharrean. Biak berrezartzea bost minutuko diagnostiko bat bi eguneko identitate-gorabehera bihurtzeko modua da.
Irteera zehatzak erakusten du zein fasera iritsi zinen:
ssh -vv [email protected]Mantendu ostalari-gakoak eta baimena osorik
Baliozkotu ostalari-gakoa aurreikusitako prozesu fidagarriaren bidez, batez ere zerbitzari bat ordezkatu ondoren. Ustekabeko gako-aldaketaren abisua da VPNa konektatu delako soilik baztertu behar ez duzun mezu bakarra, tunel pribatu batek ez baitu helmuga uste duzun makina bihurtzen. Egiaztatu hatz-marka konexiotik independenteki fidatzen zaren iturri baten aurka.
Zerbitzariaren aldean, egiaztatu kontua baimenduta dagoela eta konfiguratu duzun autentifikazio-metodoa eskaintzen ari dena dela. Presente dagoen baina baztertzen den gako bat baimen edo konfigurazio arazoa izan ohi da, ez sarekoa.
Mugatu zerbitzuen sarbidea beharrezko identitateetara eta mantendu berreskuratze-bide baimendu bat sare-aldaketetarako.