SSH-bastion as direkte VPN-tagong: hokker belied jildt?

Oft VPN-brûkers servers berikke kinne sûnder in springhost te passearjen, is in beliedsfraach yn netwurkpak. As it bastion in ferplichte kontrôle útfiert, moat it oansluten by de VPN dêrta liede en net deromhinne. As de springhost allinne in segmint oerbrêge dat earder ûnberikber wie, kin in smel direkte paad de earlike ferfanging wêze. Wurkje de kontrôles hjirûnder yn folchoarder ôf en stop by de earste dy’t mislearret, want dat antwurd bepaalt de rest.

Kontrolearje wat it bastion eins beheart

Begjin mei bewiis oer it hjoed, net mei in diagram út it ûntwerpdokumint. Sjoch nei de SSH-konfiguraasje en it pakketfilter fan it doel: as yngeande poarte 22 allinne fan it adres fan it bastion akseptearre wurdt, is de springhost in ôftwongen kontrôle. As deselde poarte ferbiningen fan ’e hiele VPN-pool akseptearret, wie it bastion in gemak en wennet de hanthavening hielendal earne oars. Ticketskiednis befêstiget meastentiids hokker fan ’e twa it earst bestie.

Formulearje de befinning yn ien sin dy’t de kontrôle neamt dy’t it bastion leveret: bestimmingsbeheining, in twadde autentikaasjestap, sesje-opname of operasjonele sichtberens by in ynsidint. Krekt dy sin moat it ferfangingsbelied behâlde.

Kontrolearje oft it doel de paden útinoar hâlde kin

Regels foar boarneadres wurkje allinne salang’t de beide paden mei ferskillende boarneadressen oankomme. In VPN-gateway dy’t ferkear nei it server-subnet maskearret, wisket dat ferskil út, en dan liket elke ferbining nei poarte 22 fan ’e gateway te kommen. De kontrôle is lokaal op it doel en duorret in momint: list de oprjochte SSH-sesjes op en lês it adres fan ’e tsjinpartij foar elk.

As beide paden yn ien adres gearfalle, moat it ûnderskie earder makke wurde, troch hokker bestimmings it VPN trochstjoere mei en troch de eigen filters fan ’e gateway. In regel op it doel tafoegje yn dy situaasje skept de yllúzje fan in grins sûnder te feroarjen wat oankomt.

Kontrolearje wat elk record eins befettet

Trije ferskillende logs beskriuwe trije ferskillende eveneminten, en gjinien ferfangt in oare. It ferbiningsrecord fan it VPN lit sjen dat in identiteit it netwurkberik ynkaam. It trochstjoerrecord fan it bastion lit in TCP-kanaal sjen dat it ferlit nei in bestimming en poarte. De autentikaasjelog fan it doel lit sjen dat in akkount oer SSH oanmeld is. It is it tegearre lêzen dat in tiidline makket; it lêzen fan ien allinne makket in gissing.

Gjin fan dy records befettet wat der binnendoar de fersifere sesje tusken klant en doel barde. As kontrôle op kommando-nivo in eask is, hat it in mei opsetsin útrôle opnamemeganisme nedich mei syn eigen regels foar gegevensbehear. Dat fan ’e logs fan ’e springhost ferwachtsje is hoe’t in auditgat ferburgen bliuwt oant it ta saak docht.

Kontrolearje wêr’t it belied eins hanthavene wurdt

In klantynstelling lykas ProxyJump is in fersyk, gjin beheining. OpenSSH sil grif in direkte ferbining iepenje as de bestimming berikber is, dus konfiguraasjebestannen op laptops beskriuwe de bedoeling wylst firewalls it resultaat beslisse. Hanthavening heart by de tastiene bestimmings fan ’e VPN-gateway en by de eigen tagongsregels fan it doel, en in brûker kin gjin fan beide bewurkje. Auditsje tagelyk de alternative paden: in twadde ynterface, in iepenbiere listener, in mesh-laach of in âldere site-nei-site-tunnel kinne elk de koarte wei werombringe dy’t jo krekt sleaten.

Konfigurearje ProxyJump dochs, want it makket de goedkarde rûte de maklike en hâldt gewoane arbeid tsjin om útsûnderingen te meitsjen. Befêstigje wat de klant eins oplost foardat jo it fertrouwe.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Ferifiearje mei in mei opsetsin direkte poging

Belied dat nea test is, is in hope. Besykje fan in oan de VPN ferbûne klant it paad dat no wegere wurde moat, besykje dan it goedkarde, en hâld beide resultaten. De wegere poging is it bewiis dat de feroaring yn wurking trede.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

In skjin resultaat liket op in wegere of ferrûne direkte ferbining nei it doeladres, folge troch in slagge oanmelding op ’e springhost en in autentikaasje-ynskriuwing oan ’e doelkant dy’t de stipe boarne neamt. Alles oars betsjut dat de grins noch hieltyd poros is, wat de dokumintaasje ek seit. Skriuw de datum, de feroare regel en de beide útkomsten op, en jou it werstelpaad in eigner en in ferfaldatum sadat needtagong net stilwei de deistige rûte wurdt.