SSH-bastion vai suora VPN-yhteys: mikä käytäntö pätee?

Kysymys siitä, saavatko VPN-käyttäjät päästä palvelimille kulkematta hyppykoneen kautta, on verkkovaatteisiin puettu käytäntökysymys. Jos bastion suorittaa vaaditun valvonnan, VPN:ään liittymisen on johdettava siihen eikä sen ohi. Jos hyppykone vain yhdisti segmentin, joka oli aiemmin saavuttamaton, kapea suora polku voi olla rehellinen korvaaja. Käy alla olevat tarkistukset läpi järjestyksessä ja pysähdy ensimmäiseen, joka epäonnistuu, koska se vastaus ratkaisee loput.

Tarkista, mitä bastion todella hallitsee

Aloita nykytilan todisteista, älä suunnitteludokumentin kaaviosta. Katso kohteen SSH-kokoonpano ja pakettisuodatin: jos saapuva portti 22 hyväksytään vain bastionin osoitteesta, hyppykone on pakotettu valvonta. Jos sama portti hyväksyy yhteyksiä koko VPN-altaasta, bastion oli mukavuus ja valvonta asuu aivan muualla. Tikettihistoria yleensä vahvistaa, kumpi kahdesta oli ensin olemassa.

Muotoile havainto yhdeksi lauseeksi, joka nimeää bastionin tarjoaman valvonnan: kohderajoitus, toinen todennusvaihe, istunnon tallennus tai operatiivinen näkyvyys tapahtuman aikana. Juuri se lause on se, mikä korvaavan käytännön on säilytettävä.

Tarkista, erottaako kohde polut toisistaan

Lähdeosoitesäännöt toimivat vain niin kauan kuin kaksi polkua saapuvat eri lähdeosoitteilla. VPN-yhdyskäytävä, joka naamioi liikenteen palvelinaliverkkoon, pyyhkii tämän eron, ja silloin jokainen portin 22 yhteys näyttää tulevan yhdyskäytävältä. Tarkistus on paikallinen kohteessa ja kestää hetken: listaa muodostetut SSH-istunnot ja lue kunkin vastapuolen osoite.

Kun molemmat polut luhistuvat yhdeksi osoitteeksi, erottelu on tehtävä aiemmin: sen mukaan, mitä kohteita VPN saa työntää, ja yhdyskäytävän omien suodattimien avulla. Säännön lisääminen kohteeseen siinä tilanteessa luo rajan illuusion muuttamatta sitä, mitä saapuu.

Tarkista, mitä kukin tietue todella sisältää

Kolme eri lokia kuvaa kolmea eri tapahtumaa, eikä mikään korvaa toista. VPN:n yhteystietue näyttää, että identiteetti astui verkon piiriin. Bastionin välitystietue näyttää TCP-kanavan, joka lähtee siitä kohti kohdetta ja porttia. Kohteen todennusloki näyttää, että tili kirjautui sisään SSH:n kautta. Vasta yhdessä lukeminen tuottaa aikajanan; yhden lukeminen tuottaa arvauksen.

Mikään näistä tietueista ei sisällä sitä, mitä tapahtui asiakkaan ja kohteen välisen salatun istunnon sisällä. Jos komentotason tarkastelu on vaatimus, se tarvitsee tarkoituksella käyttöönotetun tallennusmekanismin, jolla on omat tietojenkäsittelysäännöt. Sen odottaminen hyppykoneen lokeista on se tapa, jolla auditointiaukko pysyy piilossa, kunnes sillä on merkitystä.

Tarkista, missä käytäntöä todella valvotaan

Asiakasasetus kuten ProxyJump on pyyntö, ei rajoitus. OpenSSH avaa mielellään suoran yhteyden, kun kohde on saavutettavissa, joten kannettavien kokoonpanotiedostot kuvaavat aikomusta, kun taas palomuurit päättävät tuloksesta. Valvonta kuuluu VPN-yhdyskäytävän sallittuihin kohteisiin ja kohteen omiin käyttösääntöihin, eikä käyttäjä voi muokata kumpaakaan. Auditoi samalla vaihtoehtoiset polut: toinen verkkoliitäntä, julkinen kuuntelija, mesh-kerros tai vanhempi toimipaikkojen välinen tunneli voivat kukin palauttaa juuri sulkemasi oikopolun.

Määritä ProxyJump silti, koska se tekee hyväksytystä reitistä helpon ja estää rutiinityön tuottamasta poikkeuksia. Vahvista, mitä asiakas todella ratkaisee, ennen kuin luotat siihen.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Vahvista tarkoituksellisella suoralla yrityksellä

Käytäntö, jota ei ole koskaan testattu, on toivo. Yritä VPN:ään liitetystä asiakkaasta polkua, joka pitäisi nyt hylätä, yritä sitten hyväksyttyä ja säilytä molemmat tulokset. Hylätty yritys on todiste siitä, että muutos tuli voimaan.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Puhdas tulos näyttää hylätyltä tai aikakatkaistulta suoralta yhteydeltä kohteen osoitteeseen, jota seuraa onnistunut kirjautuminen hyppykoneelle ja kohteen puolella todennusmerkintä, joka nimeää tuetun lähteen. Mikä tahansa muu tarkoittaa, että raja on edelleen huokoinen, mitä dokumentaatio sanoo tahansa. Kirjaa päivämäärä, muutettu sääntö ja molemmat tulokset, ja sitten anna palautumispolulle omistaja ja vanhenemispäivä jotta hätäkäyttö ei hiljaa muutu jokapäiväiseksi reitiksi.