Ci gaba da SSH na gida lokacin da uwar garken ke amfani da VPN mai fita

Wata ƙaramar uwar garken Linux tana amfani da VPN mai fita don manhajar da take ɗauka, kuma mai gudanarwa har yanzu yana son isa gare ta ta SSH daga teburin da ke kusa. Wannan buƙata ce mai ma'ana, kuma yawanci ba ta bukatar tura tashar jiragen ruwa, ba adireshin mai bayarwa, ba kuma rami a cikin tunel. Abin da take bukata shi ne hanyar gudanarwa da aka tsara da gangan maimakon wadda aka gada daga abin da abokin ciniki na VPN ya yi da teburin turawa.

Matakan da ke ƙasa suna ɗauka cewa mai gudanarwa yana kan LAN ɗaya.Gudanarwa daga nesa wata matsala ce da wata amsa.

Daure SSH zuwa adireshin da masu gudanarwa ke amfani da shi

Fara daga mai sauraro.ss -ltnp | grep :22 yana nuna abin da sshd ke daure da shi, kuma mai sauraro a kan 0.0.0.0 yana karɓar haɗi daga kowace fuska, ciki har da tunel. Daurewa zuwa adireshin LAN ya fi ƙunci kuma yana sa manufar ta bayyana:ListenAddress 192.168.10.20 a cikin sshd_config, sannan gwajin tsari da sake lodi. Kuskuren rubutu a wannan adireshin ya fi bayyana fiye da wildcard, domin sshd yana ƙin farawa idan adireshin ba ya wanzu.

Riƙe duba maɓallin uwar garke da tabbatar da kowane mai amfani daidai yadda suke. «Ƙananan cibiyar sadarwa ce kawai» ba hanya ce ta tabbatarwa ba, kuma tashar gudanarwa da ke tsallake duba maɓalli saboda hanyar gajera tana jiran cin zarafi. Ajiyar DHCP ko adireshin tsayayye yana sa abin da ake nufi ya zama mai iya hasashe ba tare da mai da shi ainihin jama'a na uwar garken ba.

Riƙe hanyar LAN a wajen tunel

Uwar garken da ke da adireshi a kan 192.168.10.0/24 tana da hanyar da aka haɗa don wannan prefix, kuma hanyar da ta fi takamaimai tana cin nasara kan tsohuwar VPN a cikin tebur ɗaya. Shi ya sa SSH na gida yakan ci gaba da aiki da kansa lokacin da tunel ya taso. Tabbatar da hakan maimakon ɗauka:ip route get 192.168.10.50 yana ambaton fuskar da adireshin tushen da kernel zai yi amfani da shi, kuma amsar ya kamata ta zama na'urar LAN, ba tunel ba. Sake gwajin daga na'urar mai gudanarwa kuma, domin nata tebur ne ke yanke shawarar ko fakiti za su iso kwata-kwata. Uwar garke biyu a kan waya ɗaya na iya rashin jituwa kan wace hanya ce ake iya isa.

Zaton yana karyewa a wurare biyu. Ƙa'idar turawa bisa manufa na iya tura zirga-zirga zuwa tebur wanda tsohonsa ke nuni zuwa tunel kafin a duba babban tebur. Abokin ciniki na VPN mai fasalin kullewa ko kill switch na iya toshe zirga-zirgar da ba ta shiga tunel ba, ko da me teburin turawa ya ce.

VLAN na gudanarwa da aka tura su ne ɗayan yanayin. Idan mai gudanarwa yana kan 192.168.50.0/24 a bayan na'urar turawa ta gida, uwar garken tana bukatar bayyanannen hanya don wannan prefix ta hanyar 192.168.10.1, kuma wannan hanyar dole ta jure sake haɗawa. Riƙe keɓancewar musamman ga prefix na gudanarwa; keɓancewa mai faɗi ga kewayon sirri yana ɓata manufar tunel.

Ka sa keɓancewar wutar bango ta zama mai ƙunci kamar ƙa'idar

Idan uwar garken tana da wutar bango, ba da izinin SSH daga tushen gudanarwa kawai, kuma a kan fuskar LAN kawai. Ƙa'idar da ke ba da izinin tashar 22 daga ko'ina ta fi buƙata faɗi kuma tana da wahalar bayar da hujja a bita. A kan uwar garken nftables ƙa'idar tana cikin sarkar shigarwa tare da fuska da tushe daidaitattu; a kan uwar garken iptables makamancin shine nau'i biyu na daidaito a kan -i da -s. Yi sharhi a kan ƙa'idar da rukunin masu gudanarwa da take yi wa hidima, don kada bita na gaba ya yi hasashen dalilin da yasa tashar 22 ke buɗe.

Duba matatar abokin ciniki na VPN kuma. Wasu abokan ciniki suna sanya ƙa'idojin da ke watsar da zirga-zirgar gida bisa ƙira, kuma ingantacciyar ƙa'idar wutar bango a kan watsi a matakin abokin ciniki ba ta canza komai. Karanta tsarin abokin ciniki kafin gyara wutar bangon uwar garken, domin matata biyu a jere suna haifar da gazawar da ba ta kama da ɗayansu.

Gwada yanayi biyun

Gudanar da gwajin sau biyu: sau ɗaya tare da tunel a haɗe da sau ɗaya a cire. A kowane yanayi, tabbatar da mai sauraro, hanyar, da shigar SSH ta gaske daga na'urar mai gudanarwa. Hanyar da ke aiki kawai yayin da tunel yake sama ba hanyar gudanarwa ta gida ba ce; daidaituwa ce.

Sannan sake kunna tunel yayin da zaman SSH a buɗe yake. Zaman da ya tsira yana tabbatar da turawa ta tabbata; zaman da ya faɗi yana gaya maka cewa abokin ciniki yana sake rubuta hanyoyi ko matata yayin sake haɗawa, abin da ya cancanci sani kafin wani lamari maimakon yayinsa.

Rubuta adireshin tushen da ka gwada daga gare shi, domin ƙa'idar da aka rubuta don 192.168.10.50 tana gazawa cikin shiru lokacin da kwamfutar tafi-da-gidanka ta mai gudanarwa ta koma wata ƙaramin hanyar sadarwa.

Rubuta hanyar dawo da ita a cikin runbook

Yanke shawara yanzu abin da zai faru idan VPN mai fita ya karya hanyar gida. Samun damar console, wani adireshin gudanarwa na biyu, ko ingantaccen tsari na dakatar da abokin ciniki duk amsoshi ne na halal, kuma kowanne daga cikinsu ya fi gano matsalar a daidai lokacin da kake bukatar shiga. Idan uwar garken tana nesa, hanyar gida ba ta wanzu, kuma ingantaccen tsari shine wata hanyar shiga daga nesa da aka amince da ita daban ko bastion maimakon tashar jama'a da aka fallasa.

Riƙe ayyukan biyu daban a cikin takardun, SSH na gida ga mai gudanarwar da ke kusa, da tunel mai fita ga zirga-zirgar manhajar. Lokacin da aka rubuta waɗannan ayyukan, canji na gaba a ɗayansu yana da bayyanannen wuri da za a duba, kuma mutum na gaba ba ya bukatar sake gano dalilin da yasa uwar garken da ke da VPN har yanzu tana amsawa a adireshinta na LAN.