Bastion SSH nó rochtain dhíreach VPN: cén polasaí a bhaineann?

Is ceist pholasaí i gculaith líonra í cé acu an féidir le húsáideoirí VPN freastal ar fhreastalaithe gan óstach léime a thrasnú. Má chomhlíonann an bastion riail rialaithe riachtanach, ansin ní mór do dhul isteach sa VPN a bheith ina threoir chuige seachas timpeall air. Mura raibh san óstach léime ach droichead idir deighleog a bhí dorochtana roimhe seo, is féidir le cosán díreach cúng a bheith ina ionadaíocht mhacánta. Oibrigh trí na seiceálacha thíos in ord agus stop ag an gcéad cheann a theipeann, óir is é an freagra sin a shocraíonn an chuid eile.

Seiceáil cad a rialaíonn an bastion i ndáiríre

Cuir tús le fianaise faoin lá inniu, ní le léaráid ón doiciméad dearaidh. Féach ar chumraíocht SSH agus ar scagaire paicéad na sprice: má ghlactar le port 22 isteach ó sheoladh an bastion amháin, is riail rialaithe fhorfheidhmithe é an t-óstach léime. Má ghlacann an port céanna le naisc ón linn VPN iomlán, ba áis é an bastion agus tá an fhorfheidhmiú ina chónaí áit éigin eile ar fad. De ghnáth dearbhaíonn stair na dticead cé acu den dá rud a bhí ann ar dtús.

Cuir an toradh in iúl in aon abairt amháin a ainmníonn an riail rialaithe a sholáthraíonn an bastion: srian scríbe, dara céim fíordheimhnithe, taifeadadh seisiúin, nó infheictheacht oibriúcháin le linn teagmhais. Is í an abairt sin an rud a chaithfidh an polasaí ionadaíochta a chaomhnú.

Seiceáil an féidir leis an sprioc idirdhealú a dhéanamh idir na cosáin

Ní oibríonn rialacha seolta foinse ach amháin fad a thagann an dá chosán le seoltaí foinse éagsúla. Scriosann geata VPN a dhéanann mascáil ar thrácht chuig fo-líonra na bhfreastalaithe an difríocht sin, agus ansin is cosúil go dtagann gach nasc le port 22 ón ngeata. Tá an tseiceáil áitiúil don sprioc agus ní thógann sí ach nóiméad: liostaigh na seisiúin SSH atá bunaithe agus léigh seoladh an phiarála do gach ceann.

Nuair a thiteann an dá chosán le chéile in aon seoladh amháin, caithfear an t-idirdhealú a dhéanamh níos luaithe, trí na scríbeanna a bhfuil cead ag an VPN iad a bhrú agus trí scagairí an gheata féin. Cruthaíonn rial a chur leis an sprioc sa chás sin mealladh teorann gan athrú ar an rud a thagann.

Seiceáil cad atá i ngach taifead i ndáiríre

Déanann trí loga éagsúla cur síos ar thrí imeacht éagsúla, agus ní thagann aon cheann in ionad a chéile. Taispeánann taifead naisc an VPN gur tháinig féiniúlacht isteach sa raon líonra. Taispeánann taifead seolta an bastion cainéal TCP ag fágáil é i dtreo scríbe agus puirt. Taispeánann loga fíordheimhnithe na sprice gur shínigh cuntas isteach thar SSH. Is é a léamh le chéile a tháirgeann amlíne; is é aon cheann amháin a léamh a tháirgeann buille faoi thuairim.

Níl i gceann ar bith de na taifid sin an méid a tharla taobh istigh den seisiún criptithe idir cliant agus sprioc. Má tá athbhreithniú ar leibhéal an ordaithe riachtanach, teastaíonn meicníocht taifeadta a úsáideadh go feasach, lena rialacha féin maidir le láimhseáil sonraí. Is é bheith ag súil leis sin ó logaí an ósta léime an bealach a bhfanann bearna iniúchta i bhfolach go dtí go mbíonn tábhacht léi.

Seiceáil cá gcuirtear an polasaí i bhfeidhm i ndáiríre

Is iarraidh é socrú cliaint ar nós ProxyJump, ní srian. Osclóidh OpenSSH nasc díreach go fonnmhar nuair a bhíonn an scríob inrochtana, mar sin cuireann comhaid chumraíochta ar ríomhairí glúine síos ar an rún agus socraíonn ballaí dóiteáin an toradh. Baineann an fhorfheidhmiú le scríbeanna ceadaithe gheata an VPN agus le rialacha rochtana na sprice féin, agus ní féidir leis an úsáideoir ceachtar acu a chur in eagar. Déan iniúchadh ar na cosáin mhalartacha ag an am céanna: is féidir le dara comhéadan, le héisteoir poiblí, le sraith mesh nó le tollán sean-idirlíon-athlíon an aicearra a dhún tú díreach a athchóiriú.

Cumraigh ProxyJump mar sin féin, mar déanann sé an bealach ceadaithe an ceann éasca agus cuireann sé cosc ar ghnáthobair eisceachtaí a chruthú. Deimhnigh cad a réitíonn an cliant i ndáiríre sula dtéann tú i muinín air.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Fíoraigh le hiarracht dhíreach d’aon ghnó

Is dóchas é polasaí nach ndearnadh tástáil riamh air. Ó chliant atá ceangailte leis an VPN, déan iarracht ar an gcosán ar cheart diúltú dó anois, ansin déan iarracht ar an gceann ceadaithe, agus coinnigh an dá thoradh. Is í an iarracht a diúltaíodh an fhianaise gur tháinig an t-athrú i bhfeidhm.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Tá cuma ar thoradh glan cosúil le nasc díreach a diúltaíodh nó a chuaidh thar am chuig seoladh na sprice, agus ina dhiaidh sin síniú isteach rathúil ar an óstach léime agus iontráil fhíordheimnithe ar thaobh na sprice a ainmníonn an fhoinse thacaithe. Ciallaíonn aon rud eile go bhfuil an teorainn scagach fós, cibé rud a deir an doiciméadú. Taifead an dáta, an riail a athraíodh agus an dá thoradh, agus ansin tabhair úinéir agus dáta éaga don chosán téarnaimh ionas nach ndéanfaidh rochtain éigeandála an cosán laethúil go ciúin.