Bastion na SSH ko shiga VPN kai tsaye: wace manufa ce ta shafi?

Tambayar ko masu amfani da VPN za su iya isa ga sabar ba tare da tsallake mai masaukin tsalle ba tambaya ce ta manufa sanye da kayan cibiyar sadarwa. Idan bastion yana yin wani matakin da ake bukata, to shiga VPN dole ya kai gare shi ba waje da shi ba. Idan mai masaukin tsalle kawai ya haɗa wani yanki da a da ba a iya isa ba, ƙunƙuntar hanya kai tsaye za ta iya zama maye gurbin gaskiya. Yi gwaje-gwajen da ke ƙasa a jere kuma tsaya a na farko da ya kasa, domin wannan amsar ce ke yanke sauran.

Duba abin da bastion ke sarrafawa a zahiri

Fara da shaidar yau da kullum, ba zanen da ke cikin takardar ƙira ba. Dubi tsarin SSH da matatar fakiti na maƙasudi: idan ana karɓar tashar shiga ta 22 daga adireshin bastion kawai, to mai masaukin tsalle mataki ne da aka tilasta. Idan wannan tashar tana karɓar haɗi daga dukan tafkin VPN, to bastion ya kasance sauƙi ne kawai kuma tilastawa tana zaune a wani wuri daban. Tarihin tikiti yakan tabbatar da wanne daga cikin biyun ya fara wanzuwa.

Faɗi sakamakon a cikin jumla ɗaya da ke ambaton matakin da bastion ke bayarwa: iyakance makasudi, mataki na biyu na tabbatarwa, rikodin zama, ko ganuwa ta aiki yayin wani lamari. Wannan jumlar ita ce abin da manufar maye gurbi dole ta kiyaye.

Duba ko maƙasudin zai iya bambanta hanyoyin

Dokokin adireshin tushe suna aiki ne kawai muddin hanyoyin biyu suna zuwa da adireshin tushe daban-daban. Ƙofar VPN da ke ɓoye zirga-zirga zuwa ƙaramin cibiyar sadarwar sabar tana shafe wannan bambanci, sannan kowane haɗi zuwa tashar 22 yana bayyana kamar yana zuwa daga ƙofar. Binciken na gida ne a maƙasudin kuma yana ɗaukar ɗan lokaci: lissafa zamowar SSH da aka kafa kuma karanta adireshin abokin zamani na kowanne.

Lokacin da hanyoyin biyu suka faɗo cikin adireshi ɗaya, dole a yi bambancin a baya, ta wurin makasudin da aka ba VPN izinin tura da kuma matatun ƙofar da kanta. Ƙara doka a kan maƙasudin a irin wannan yanayi yana haifar da hasashen iyaka ba tare da canza abin da ke zuwa ba.

Duba abin da kowane rikodi ke riƙe da gaske

Rikodi uku daban-daban suna bayanin al'amura uku daban-daban, kuma babu ɗayansu da ke maye gurbin wani. Rikodin haɗin VPN yana nuna cewa wani asali ya shiga yankin cibiyar sadarwa. Rikodin turawa na bastion yana nuna tashar TCP da ke barinsa zuwa wani makasudi da tasha. Rikodin tabbatarwar maƙasudin yana nuna cewa wani asusu ya shiga ta SSH. Karanta su tare ne ke samar da jerin lokaci; karanta ɗaya shi kaɗai yana samar da zato.

Babu ɗaya daga cikin waɗannan rikodin da ke ɗauke da abin da ya faru a cikin zamar da aka ɓoye tsakanin abokin ciniki da maƙasudi. Idan bitar matakin umarni abin bukata ne, tana buƙatar hanyar rikodi da aka girka da gangan tare da nata dokokin sarrafa bayanai. Tsammanin hakan daga rajistolin mai masaukin tsalle ita ce hanyar da gibin bincike ke kasancewa a ɓoye har sai ya zama mai muhimmanci.

Duba inda ake aiwatar da manufar a zahiri

Wani saitin abokin ciniki kamar ProxyJump buƙata ne, ba hani ba. OpenSSH zai buɗe haɗi kai tsaye cikin yarda idan ana iya isa ga makasudin, don haka fayilolin tsari a kwamfutocin tafi-da-gidanka suna bayanin niyya yayin da katangar wuta ke yanke sakamako. Aiwarta ta kasance a makasudin da aka halatta na ƙofar VPN da kuma dokokin shiga na maƙasudin kansa, kuma mai amfani ba zai iya gyara ko ɗaya ba. Bincika hanyoyin madadi a lokaci guda: wani muƙami na biyu, mai saurare na jama'a, wani shimfidar mesh ko wata tsohuwar rami tsakanin wurare kowanne zai iya dawo da gajeriyar hanyar da ka rufe yanzu.

Saita ProxyJump duk da haka, domin yana mai da hanyar da aka amince da ita ta sauƙi kuma yana hana aikin yau da kullum haifar da keɓancewa. Tabbatar da abin da abokin ciniki ke warwarewa kafin ka amince da shi.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Tabbatar da gwajin kai tsaye da gangan

Manufar da ba a taɓa gwada ta ba bege ne kawai. Daga abokin ciniki da ke haɗe da VPN, gwada hanyar da ya kamata a ƙi yanzu, sannan gwada wadda aka amince da ita, kuma ka riƙe sakamakon biyu. Gwajin da aka ƙi shi ne shaidar cewa canjin ya yi tasiri.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Sakamako mai tsabta yana kama da haɗi kai tsaye da aka ƙi ko ya ƙare da lokaci zuwa adireshin makasudi, sannan shiga mai nasara a mai masaukin tsalle da wani rikodin tabbatarwa a gefen makasudi da ke ambaton tushen da ake tallafawa. Duk wani abu dabam yana nufin iyakar har yanzu tana da ramuka, ko da me takardun suka ce. Rubuta kwanan wata, dokar da aka canza da sakamakon biyu, sannan ba wa hanyar dawowa mai shi da ranar ƙarewa don kada shiga na gaggawa ya zama hanyar yau da kullum a hankali.