SSH op ôfstân oer in VPN: wat de tunnel net docht
In VPN makket in SSH-tsjinner berikber en neat mear. Trije betingsten bepale oft it past, en de mislearringsstap lit sjen hokker laach skuld hat.
In VPN jout in SSH-tsjinner in priveepaad en hellet de needsaak foar in iepenbiere lústerder op poarte 22 fuort. It autentisearret de host net, autorisearret de brûker net en beslút net hokker akkounts oanmelde meie. Dat bliuwt it wurk fan SSH. Oft in VPN de goede manier is om de tsjinner te berikken hinget fan trije betingsten ôf, en de tunnel is mar ien fan de mooglike antwurden.
Wat de tunnel feroaret en wat SSH noch beslút
De tunnel feroaret berikberens: hokker adressen berikt wurde kinne, en fan wêr. It feroaret net wat der bart nei't de TCP-ferbining lânet, wêr't de tsjinner in hostkaai presintearret en in brûkersidentiteit freget.
Hâld de twa lagen apart yn jo holle en yn jo dokumintaasje. In VPN-oanmelding bewiist wa't it netwurk brûke mei. It seit neat oer hokker akkounts der op it doel besteane, en it is gjin tastimming om by elke berikbere masine oan te melden.
De mislearringsmodi binne ek apart, en dat is wat de skieding by in ynsidint nuttich makket.
Trije betingsten dy't it tagongsmodel beslute
Earst, moat de tsjinner berikber wêze foar minsken bûten jo netwurk? Sa net, dan is in priveepaad plus in bastion of in mesh it lytsere ûntwerp. Twad, kin de kliïntpopulaasje de VPN-kliïnt eins draaie, ynklusyf dy op behearde apparaten mei beheiningen?
Tred, hawwe jo kontrôle per tsjinst of kontrôle per brûker nedich? In VPN jout netwurkberik; SSH jout akkounttagong. As de eask is dat in kontraktor ien host berikt en neat oars, is dat in autorisaasjeeask en de tunnel allinnich kin dat net útdrukke.
Beändert dy trije en it model kiest himsels. Slaan se oer en jo einigje mei SSH iepenbier bleat te stellen om de kliïntrôlje te foarkommen.
Befêstigje it priveepaad foardat jo SSH de skuld jouwe
Ferbyn jo mei de goedkarde VPN en brûk de dokumintearre priveenamme of it adres fan it doel. Kontrollearje dan de keazen rûte, de tastimming fan 'e gateway en it werompaad nei de kliïnt. In namme dy't korrekt oplost is gjin bewiis dat it adres de bedoelde tunnel nimt, want oerlaapjende lokale en fiere foarheaksels kinne it fersyk hiel earne oars hinne stjoere. Dat ûnderskie is it wurdich om yn it runbook te skriuwen.
As de ferbining nea lânet, befêstigje dat de tsjinner lústeret op it ynterface dat jo ferwachtsje en dat syn hostfirewall de boarne tastean dy't er echt sjocht. In gateway-NAT kin dy boarne weromskriuwe, sadat in tastimmingslist skreaun foar it tunneladres fan 'e kliïnt miskien nea past.
Dat misferhâld is de meast foarkommende selsferoarsake SSH-mislearring oer in VPN.
Lês de mislearringsstap, net de kombineare flater
Trije stappen produsearje trije ferskillende berjochten, en mar ien fan harren giet oer befinings.
| Stage | What you see | What it points at |
|---|---|---|
| Before the connection | Timeout, no route | Tunnel, route or gateway permission |
| Connection refused | Immediate reset | Nothing listening, or a host firewall rejecting |
| Authentication | Permission denied after a prompt | User, key or server policy |
Brûk de krekte flater en it eigen log fan 'e tsjinner yn stee fan sawol VPN- as SSH-befinings tagelyk werom te setten. Beide weromsette is hoe't in diagnoaze fan fiif minuten in ynsidint fan twa dagen wurdt.
De wiidweidige útfier lit sjen hokker stap jo berikt hawwe:
ssh -vv [email protected]Hâld hostkaaien en autorisaasje yntakt
Falidearje de hostkaai fia it bedoelde fertroude proses, benammen nei it ferfangen fan in tsjinner. In ûnferwachtse warskôging oer in feroare kaai is it iene berjocht dat jo net ôfwize meie allinnich om't de VPN ferbûn is, want in priveetunnel makket it doel net de masine dy't jo tinke. Kontrollearje de fingerôfdruk tsjin in boarne dy't jo ûnôfhinklik fan 'e ferbining fertrouwe.
Oan 'e tsjinnerkant befêstigje jo dat it akkount autorisearre is en dat de autentikaasjemetoade dy't jo konfigurearre hawwe dejinge is dy't oanbean wurdt. In kaai dy't oanwêzich is mar negearre wurdt is meastentiids in tastimmings- as konfiguraasjeprobleem ynstee fan in netwurkprobleem.
Behein tsjinsttagong ta de fereaske identiteiten en hâld in autorisearre werstelpaad foar netwurkferoarings.