SSH bastioia edo VPN bidezko sarbide zuzena: zein politika aplikatzen da?

VPN erabiltzaileek jauzi-ostalari bat zeharkatu gabe zerbitzarietara irits daitezkeen galdetzea sare-arropaz jantzitako politika-kontua da. Bastioiak beharrezko kontrola betetzen badu, VPNera batzeak hara eraman behar du, ez haren inguruan. Jauzi-ostalariak lehen iristezina zen segmentu bat besterik zubiratzen ez bazuen, bide zuzen estu bat izan daiteke ordezkapen zintzoa. Egin beheko egiaztapenak ordenan eta gelditu huts egiten duen lehenengoan, erantzun horrek erabakitzen baitu gainerakoa.

Egiaztatu bastioiak benetan zer kontrolatzen duen

Hasi orainaldiari buruzko ebidentziekin, ez diseinu-dokumentuko diagrama batekin. Begiratu helburuaren SSH konfigurazioa eta pakete-iragazkia: sarrerako 22 portua bastioiaren helbidetik soilik onartzen bada, jauzi-ostalaria indarrean jarritako kontrola da. Portu berak VPN igerileku osoaren konexioak onartzen baditu, bastioia erosotasuna zen eta betearazpena beste leku batean bizi da erabat. Txartelen historiak normalean berresten du bietatik zein existitu zen lehenago.

Adierazi aurkikuntza bastioiak ematen duen kontrola izendatzen duen esaldi bakarrean: helmuga-murrizketa, bigarren autentifikazio urratsa, saioaren grabaketa edo gertaera batean zehar ikusgaitasun operatiboa. Esaldi hori da ordezkapen-politikak gorde behar duena.

Egiaztatu helburuak bideak bereiz ditzakeen

Iturburu-helbidearen arauek bi bideak iturburu-helbide desberdinekin iristen diren bitartean soilik funtzionatzen dute. Server azpisarera doan trafikoa maskaratzen duen VPN ateak desberdintasun hori ezabatzen du, eta orduan 22 porturako konexio bakoitza atetik datorrela ematen du. Egiaztapena helburuan bertan egiten da eta une bat besterik ez du hartzen: zerrendatu ezarritako SSH saioak eta irakurri bakoitzaren parekoaren helbidea.

Bi bideak helbide bakarrera eraisten direnean, bereizketa lehenago egin behar da, VPNari bultzatzea onartzen zaizkion helmugen eta atearen iragazki propioen bidez. Egoera horretan helburuan arau bat gehitzeak mugaren ilusioa sortzen du, iristen dena aldatu gabe.

Egiaztatu erregistro bakoitzak zer gordetzen duen

Hiru erregistro desberdinek hiru gertaera desberdin deskribatzen dituzte, eta batek ez du bestea ordezkatzen. VPNaren konexio-erregistroak identitate bat sare-eremuan sartu zela erakusten du. Bastioiaren birbidaltze-erregistroak hura helmuga eta portu baterantz uzten duen TCP kanala erakusten du. Helburuaren autentifikazio-erregistroak kontu bat SSH bidez saioa hasi zuela erakusten du. Elkarrekin irakurtzeak denbora-lerroa sortzen du; bakarra irakurtzeak susmoa sortzen du.

Erregistro horietako batek ere ez du jasotzen bezeroaren eta helburuaren arteko saio zifratuaren barruan gertatu zena. Agindu-mailako berrikuspena baldintza bada, berariaz ezarritako grabaketa-mekanismo bat behar du, datuak tratatzeko arau propioekin. Hori jauzi-ostalariaren erregistroetatik espero izatea da auditoria-hutsune bat garrantzitsu bihurtu arte ezkutuan mantentzeko modua.

Egiaztatu politika benetan non betearazten den

ProxyJump bezalako bezero-ezarpen bat eskaera bat da, ez murrizketa bat. OpenSSH-k gogoz irekiko du konexio zuzena helmuga iristeko modukoa denean, beraz ordenagailu eramangarrien konfigurazio-fitxategiek asmoa deskribatzen dute, suebakiek emaitza erabakitzen duten bitartean. Betearazpena VPN atearen baimendutako helmugen eta helburuaren beraren sarbide-arauen esku dago, eta erabiltzaileak ezin ditu biak editatu. Auditatu bide alternatiboak aldi berean: bigarren interfaze batek, entzule publiko batek, mesh geruza batek edo gune arteko tunel zahar batek itxi berri duzun lasterbidea berreskura dezakete.

Konfiguratu ProxyJump hala ere, baimendutako ibilbidea erraza bihurtzen duelako eta lan arruntak salbuespenak sor ez ditzan. Berretsi bezeroak benetan zer ebazten duen hari fidatu aurretik.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Egiaztatu nahita egindako saiakera zuzen batekin

Inoiz probatu gabeko politika itxaropen bat da. VPNari lotuta dagoen bezero batetik, saiatu orain arbuiatu beharko litzatekeen bidea, gero saiatu onartutakoa, eta gorde bi emaitzak. Arbuiatutako saiakera da aldaketak eragin zuenaren froga.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Emaitza garbi bat helmugaren helbidera arbuiatutako edo denbora-mugaz gaindiko konexio zuzen bat da, ondoren jauzi-ostalarian saio-hasiera arrakastatsua eta helburuaren aldean onartutako iturburua izendatzen duen autentifikazio-erregistro bat. Beste edozein gauzak muga oraindik porotsua dela esan nahi du, dokumentazioak zer esan ere. Idatzi data, aldatutako araua eta bi emaitzak, eta gero eman berreskuratze-bideari jabe bat eta iraungitze-data bat larrialdiko sarbidea isilean eguneroko ibilbide bihur ez dadin.