rsync oer de VPN: daemonpoarte 873 tsjin SSH-modus

TCP 873 tastean op 'e tunnelinterface stjoert rsync net troch OpenVPN, en it makket ek net dat de oare kant de module akseptearret. In tunnel draacht in ynterne ferbining wêrfan't de protokol- en bestimmingsregels krekt bliuwe sa't se wiene. De earste fraach is dus net hokker poarte te iepenjen, mar hokker soart ferbining rsync makket. Alles hjirûnder giet derfan út dat de tunnel al omheech is en allinnich de ynterne tsjinst noch ûnwis is.

Bepale hokker ferbining rsync eins makket

It remote-argument yn it kommando beantwurdet dy fraach meastentiids foar elke fjoerwâlferoaring. In dûbele dûbele punt of in URL-skema kiest de daemon, wylst in inkele dûbele punt nei in hostnamme in remote shell kiest. Lês it argument dat jo eins útfiere, net dat út it dokumintaasjefoarbyld.

In eksplisite remote-shell-opsje kin it antwurd wer feroarje, omdat it rsync fertelt hokker programma te starten foar it ferfier. Lês de hiele kommandorigel, ynklusyf erfd wrapper-skripts, net allinnich it hostpart.

Daemonmodus: bindadres, module en poarte

Yn daemonsyntaksis neamt it paadsegmint in konfigurearre module, net in map op 'e skiif. In modulewachtwurd wurdt pas kontrolearre neidat de ferbining akseptearre is, en de module kin derneist allinnich-lêze of ferburgen wêze foar de list. Dy folchoarder makket út as jo in flater lêze, omdat in wegere ferbining en in wegere module mislearrings binne yn twa ferskillende stappen. Ien fan 'e beide berjochten fertelt jo neat oer de tunnel sels.

In selsstannige daemon kin yn syn konfiguraasjefail oan it tunneladres fêstlein wurde, wat him sûnder ien fjoerwâlregel fan 'e iepenbiere interface hâldt. De wearde moat bestean as de daemon bindt, en in socket-aktivearre of inetd-beheard listener kin it folslein negearje.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Test dan tsjin it privee-adres ynstee fan 'e iepenbiere namme. In iepenbiere hostnamme lost op nei in WAN-adres en nimt in oar paad, sels as ien masine op beide antwurdet.

rsync --list-only rsync://10.44.0.1/archive/

Remote-shellmodus: SSH draacht de oerdracht

Mei in inkele dûbele punt start rsync in remote-shellprogramma en praat syn protokol oer dat kanaal, sadat de iennige berikbere tsjinst SSH is op hokker poarte de tsjinner ek harket. De rsync-daemon rint nea, poarte 873 is net relevant, en de tagongsbeslissing wurdt in SSH-akkountbeslissing. It remote-paad is dan in echt bestânssysteempaad dat troch de shell oan 'e oare kant ynterpretearre wurdt. Dêrom docht in fjoerwâlferoaring rjochte op 873 foar dizze modus hielendal neat.

Dat ûntwerp freget in autorisearre akkount en ferifikaasje fan 'e hostkaai, en it erft SSH syn eigen autentikaasjebelied. It is faak de bettere kar as de oerdracht in net fertroud netwurk oerstekke moat, omdat de fersifering ta in protokol heart dat dêrfoar boud is. In daemon mei wachtwurdfraach is net itselde.

Iepenje allinnich it paad dat jo keazen hawwe

Sadree't de modus fêststiet, tastean de iene ynterne tsjinst op 'e iene interface dy't de tunnel draacht. Behein de regel op interface, boarne-pool en bestimmingsadres, sadat in lettere standert-wegering him net stil ferskoot. Besjoch dêrnei de regelfolchoarder, omdat in tasteande regel earder yn 'e keten de smelle regel fersierend makket.

As de daemon op in masine efter de VPN-gateway rint ynstee fan op 'e gateway sels, hat de gateway ek in trochstjoerpaad nedich en it doel syn eigen tastimming en weromrûte. It iepenjen fan 'e poarte allinnich op 'e gateway jout in ferbining dy't akseptearre wurdt en dan nearne hinne giet.

Ferifiearje fan 'e klient mei deselde modus en bestimming dy't jo yn produksje brûke wolle. In suksesfolle list bewiist de listener, de rûte en de regel tegearre; in time-out wiist op it paad, en in wegering wiist op 'e listener.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873