rsync VPN bidez: daemonaren 873 ataka SSH moduaren aurrez aurre

873 ataka tunelek daraman barne zerbitzua da, ez haren ordezkoa. Bereizi daemon modua SSH modutik, eta gero ireki benetan erabiltzen duzun bidea soilik.

Tunelaren interfazean TCP 873 baimentzeak ez du rsync OpenVPN, eta ez du lortzen urruneko muturrak modulua onartzea ere. Tunel batek barne konexio bat darama, eta haren protokolo- eta helburu-arauak berdin-berdin geratzen dira. Beraz, lehen galdera ez da zein ataka ireki, baizik eta rsync zer motatako konexioa egiten ari den. Jarraian guztiak tunela jada altxatuta dagoela eta barne zerbitzua bakarrik dagoela zalantzan suposatzen du.

Erabaki rsync-ek benetan zein konexio egiten duen

Komandoko urruneko argumentuak galdera hori erantzuten du normalean suebakiaren edozein aldaketaren aurretik. Koloikoitz bikoitzak edo URL eskema batek daemona hautatzen du, eta ostalari-izen baten ondorengo koloikoitz bakarrak urruneko shell bat hautatzen du. Irakurri benetan exekutatzen duzun argumentua, ez dokumentazioko adibidearena.

Urruneko shell aukera esplizitu batek erantzuna berriz alda dezake, rsync-i esaten baitio zein programa abiarazi garraiorako. Irakurri komando-lerro osoa, heredatutako bilgarri-scriptak barne, ez ostalari-zatia soilik.

Remote argumentWhat it opens
rsync://vault.corp.internal/archive/rsync daemon, normally TCP 873
vault.corp.internal::archive/rsync daemon, normally TCP 873
[email protected]:/srv/archive/Remote shell, normally SSH on its configured port

Daemon modua: lotze-helbidea, modulua eta ataka

Daemon sintaxian bide-segmentuak konfiguratutako modulu bat izendatzen du, ez diskoko direktorio bat. Moduluaren pasahitza konexioa onartu ondoren soilik egiaztatzen da, eta modulua gainera irakurtzeko soilik edo zerrendatik ezkutatuta egon daiteke. Ordena hori garrantzitsua da errore bat irakurtzean, ukatutako konexioa eta ukatutako modulua bi etapa desberdinetako hutsegiteak baitira. Bi mezuek ez dizute ezer esaten tunelari berari buruz.

Daemon autonomo bat tunelaren helbidera lotu daiteke bere konfigurazio-fitxategian, eta horrek interfaze publikotik kanpo mantentzen du suebaki-arau bat behar izan gabe. Balioak egon behar du daemona lotzen denean, eta socket bidez aktibatutako edo inetd-kudeatutako entzule batek erabat alde batera dezake.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Ondoren probatu helbide pribatuaren aurka, ez izen publikoaren aurka. Ostalari-izen publiko bat WAN helbide batera ebazten da eta beste bide bat egiten du, makinak bietara erantzuten duenean ere.

rsync --list-only rsync://10.44.0.1/archive/

Urruneko shell modua: SSH-k darama transferentzia

Koloikoitz bakar batekin, rsync-ek urruneko shell programa bat abiarazten du eta haren protokoloa hitz egiten du kanal horretatik, beraz, iristeko moduko zerbitzu bakarra SSH da, zerbitzariak entzuten duen atakan. rsync daemona ez da inoiz exekutatzen, 873 ataka ez da garrantzitsua, eta sarbide-erabakia SSH kontu-erabaki bihurtzen da. Urruneko bidea fitxategi-sistemako benetako bide bat da orduan, beste aldeko shellek interpretatzen duena. Horregatik, 873-ra bideratutako suebaki-aldaketa batek ez du ezer egiten modu honetarako.

Diseinu horrek behar ditu baimendutako kontu bat eta ostalari-gakoaren egiaztapena, eta SSH-ren autentifikazio-politika propioa heredatzen du. Askotan aukera hobea da transferentziak sare ez-fidagarria zeharkatu behar duenean, zifratzea horretarako eraikitako protokolo bati baitagokio. Pasahitza eskatzen duen daemon bat ez da gauza bera.

Ireki hautatu duzun bidea soilik

Modua finkatuta, baimendu barne zerbitzua tunela daraman interfaze bakarrean. Mugatu araua interfazearen, iturburu-poolaren eta helburu-helbidearen arabera, geroagoko ukapen lehenetsiaren aldaketa batek isilka zabal ez dezan. Berrikusi ondoren arauen ordena, katean lehenagoko baimen-arau batek arau estua apaingarri bihurtzen baitu.

Daemona VPN atebidearen atzean dagoen makina batean exekutatzen bada, ez atebidean bertan, atebideak aurreratze-bide bat ere behar du eta helburuak bere baimena eta itzulera-bidea. Ataka soilik atebidean irekitzeak onartzen den eta gero inora ez doan konexio bat sortzen du.

Egiaztatu bezeroaren aldetik produkzioan erabili nahi dituzun modu eta helburu berberekin. Zerrenda arrakastatsu batek entzulea, bidea eta araua batera frogatzen ditu; denbora-muga bideari seinalatzen dio, eta ukapenak entzuleari.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873

Erlazionatutako artikuluak