Coinnigh SSH áitiúil nuair a ritheann an t-óstach VPN amach

Ritheann freastalaí beag Linux VPN amach don fheidhmchlár a óstaíonn sé, agus tá an riarthóir fós ag iarraidh teacht air trí SSH ón deasc béal dorais. Is riachtanas réasúnach é sin, agus de ghnáth ní theastaíonn aon seoladh port, aon seoladh ón soláthraí ná aon pholl sa tollán. Is é a theastaíonn ná cosán riaracháin atá deartha d'aon ghnó seachas a bheith faighte le hoidhreacht ón méid a rinne an cliant VPN leis an tábla ródaithe.

Glacann na céimeanna thíos leis go bhfuil an riarthóir ar an LAN céanna.Is fadhb eile é riarachán cianda le freagra eile.

Ceangail SSH leis an seoladh a úsáideann riarthóirí

Tosaigh leis an éisteoir.ss -ltnp | grep :22 a thaispeánann a bhfuil sshd ceangailte leis, agus glacann éisteoir ar 0.0.0.0 le naisc ó gach comhéadan, an tollán san áireamh. Tá ceangal le seoladh an LAN níos cúinge agus déanann sé an rún le feiceáil:ListenAddress 192.168.10.20 i sshd_config, agus ina dhiaidh sin tástáil chumraíochta agus athlódáil. Tá clóscríobh earráideach san seoladh sin níos sofheicthe ná saoróg, mar diúltaíonn sshd tosú nuair nach bhfuil an seoladh ann.

Coinnigh seiceáil eochair an óstaigh agus fíordheimhniú in aghaidh an úsáideora go beacht mar atá siad. Ní modh fíordheimhnithe é «níl ann ach an líonra áitiúil», agus is cainéal riaracháin é cainéal riaracháin a sciobann an tseiceáil eochair mar gheall go bhfuil an bealach gearr, atá ag fanacht le mí-úsáid. Déanann áirithint DHCP nó seoladh statach an sprioc intuartha gan é a dhéanamh ina fhéiniúlacht phoiblí ag an bhfreastalaí.

Coinnigh bealach an LAN amach as an tollán

Tá bealach nasctha ag óstach a bhfuil seoladh aige ar 192.168.10.0/24 don réimír sin, agus buaileann bealach níos sonraí an bealach réamhshocraithe VPN laistigh den tábla céanna. Sin é an fáth a leanann SSH áitiúil ag obair leis féin go minic nuair a éiríonn an tollán. Fíoraigh é seachas glacadh leis:ip route get 192.168.10.50 ainmníonn sé an comhéadan agus an seoladh foinse a d'úsáidfeadh an eithne, agus ba cheart gurb é an gléas LAN an freagra, ní an tollán. Déan an tseiceáil arís ó mheaisín an riarthóra freisin, mar is é a thábla féin a shocraíonn an dtagann na paicéid riamh. Is féidir le dhá óstach ar an sreang chéanna easaontú faoin treo atá inrochtana.

Briseann an toimhde in dhá áit. Is féidir le riail ródaithe bunaithe ar pholasaí trácht a sheoladh chuig tábla a bhfuil a réamhshocrú dírithe isteach sa tollán sula ndéantar comhairle leis an bpríomhthábla. Is féidir le cliant VPN a bhfuil gné glasála nó kill-switch aige trácht nach dtéann isteach sa tollán a bhlocáil freisin, is cuma cad a deir an tábla ródaithe.

Is é VLANanna riaracháin ródaithe an cás eile. Má tá an riarthóir ar 192.168.50.0/24 taobh thiar den ródaire áitiúil, teastaíonn bealach follasach ón bhfreastalaí don réimír sin trí 192.168.10.1, agus caithfidh an bealach sin teacht slán ó athnascadh. Coinnigh an eisceacht sainiúil don réimír riaracháin; cuireann eisceacht leathan do raonta príobháideacha cuspóir an tolláin ar ceal.

Déan eisceacht an bhalla dhóite chomh cúng leis an riail

Má ritheann balla dóite ar an óstach, ceadaigh SSH ón bhfoinse riaracháin amháin, agus ar chomhéadan an LAN amháin. Tá riail a cheadaíonn port 22 ó gach áit níos leithne ná an riachtanas agus níos deacra a chosaint in athbhreithniú. Ar óstach nftables baineann an riail leis an slabhra ionchuir agus an comhéadan agus an fhoinse meaitseáilte; ar óstach iptables is é an comhionann ná péire meaitseála ar -i agus -s. Tráchtaigh an riail leis an ngrúpa riarthóirí a fhreastalaíonn sí air, ionas nach mbeidh ar an gcéad iniúchadh eile buille faoi thuairim a thabhairt faoi cén fáth a bhfuil port 22 oscailte.

Seiceáil scagaire an chliaint VPN féin freisin. Suiteálann roinnt cliant rialacha a ligeann trácht áitiúil ar lár de réir dearaidh, agus ní athraíonn riail bhalldóite cheart os cionn ligean ar lár ag leibhéal an chliaint aon rud. Léigh cumraíocht an chliaint sula ndéanfaidh tú eagarthóireacht ar bhall dóite an óstaigh, mar chruthaíonn dhá scagaire i sraith cliseadh nach bhfuil cosúil le ceachtar acu.

Tástáil an dá staid

Rith an tástáil faoi dhó: uair amháin agus an tollán nasctha agus uair amháin agus é dínasctha. I ngach staid, deimhnigh an t-éisteoir, an bealach agus logáil isteach SSH iarbhír ó mheaisín an riarthóra. Ní cosán riaracháin áitiúil é cosán nach n-oibríonn ach amháin fad a bhíonn an tollán suas; is comhtharlú é.

Ansin atosaigh an tollán agus seisiún SSH oscailte. Cruthaíonn seisiún a thagann slán go bhfuil an ródú cobhsaí; insíonn seisiún a thiteann duit go bhfuil an cliant ag athscríobh bealaí nó scagairí ag athnascadh, rud is fiú a bheith ar eolas roimh eachtra seachas le linn ceann.

Taifead an seoladh foinse ar thástáil tú uaidh, mar teipeann go ciúin ar riail atá scríofa do 192.168.10.50 nuair a bhogann ríomhaire glúine an riarthóra go fo-líonra eile.

Scríobh an cosán téarnaimh sa runbook

Socraigh anois cad a tharlóidh má bhriseann an VPN amach an cosán áitiúil. Tá rochtain consóil, dara seoladh riaracháin nó nós imeachta doiciméadaithe chun an cliant a stopadh go léir ina bhfreagraí dlisteanacha, agus tá aon cheann acu níos fearr ná an fhadhb a fháil amach an nóiméad a chaithfidh tú logáil isteach. Má tá an freastalaí cianda, níl an cosán áitiúil ann, agus is é an dearadh ceart bealach rochtana cianda formheasta ar leithligh nó bastion seachas port poiblí nochta.

Coinnigh an dá ról ar leithligh sa doiciméadú: SSH áitiúil don riarthóir atá in aice láimhe, agus an tollán amach do thrácht an fheidhmchláir. Nuair a bhíonn na róil sin scríofa síos, tá áit fhollasach ag athrú amach anseo ar cheachtar acu le seiceáil, agus ní gá don chéad duine eile a fháil amach arís cén fáth a bhfreagraíonn freastalaí le VPN fós ar a sheoladh LAN.