SSH מרחוק דרך VPN: מה המנהרה לא עושה
VPN הופך שרת SSH לנגיש ותו לא. שלושה תנאים קובעים אם הוא מתאים, ושלב הכשל מראה איזו שכבה אשמה.
VPN נותן לשרת SSH נתיב פרטי ומסיר את הצורך במאזין ציבורי בפורט 22. הוא לא מאמת את המארח, לא מאשר את המשתמש ולא מחליט אילו חשבונות רשאים להתחבר. זה נשאר תפקידו של SSH. אם VPN הוא הדרך הנכונה להגיע לשרת תלוי בשלושה תנאים, והמנהרה היא רק אחת מהתשובות האפשריות.
מה המנהרה משנה ומה SSH עדיין מחליט
המנהרה משנה את הנגישות: אילו כתובות אפשר להשיג, ומאיפה. היא לא משנה מה קורה לאחר שחיבור ה-TCP מגיע, שם השרת מציג מפתח מארח ומבקש זהות משתמש.
השאר את שתי השכבות נפרדות בראש ובתיעוד שלך. התחברות ל-VPN מוכיחה מי רשאי להשתמש ברשת. היא לא אומרת דבר על אילו חשבונות קיימים ביעד, והיא אינה הרשאה להתחבר לכל מכונה נגישה.
גם מצבי הכשל נפרדים, וזה מה שהופך את ההפרדה לשימושית במהלך תקרית.
שלושה תנאים שקובעים את מודל הגישה
ראשית, האם השרת צריך להיות נגיש לאנשים מחוץ לרשת שלך? אם לא, נתיב פרטי בתוספת מבצר או רשת היא העיצוב הקטן יותר. שנית, האם אוכלוסיית הלקוחות יכולה באמת להריץ את לקוח ה-VPN, כולל אלה במכשירים מנוהלים עם מגבלות?
שלישית, האם אתה צריך שליטה לכל שירות או שליטה לכל משתמש? VPN מעניק הגעה לרשת; SSH מעניק גישה לחשבון. אם הדרישה היא שקבלן יגיע למארח אחד ושום דבר אחר, זו דרישת הרשאה והמנהרה לבדה לא יכולה לבטא אותה.
ענה על שלושת אלה והמודל בוחר את עצמו. דלג עליהם ותגמור בחשיפת SSH באופן ציבורי כדי להימנע מפריסת הלקוח.
אמת את הנתיב הפרטי לפני שאתה מאשים את SSH
התחבר ל-VPN המאושר והשתמש בשם או בכתובת הפרטיים המתועדים של היעד. לאחר מכן בדוק את המסלול הנבחר, את הרשאת השער ואת נתיב החזרה ללקוח. שם שנפתר נכון אינו הוכחה שהכתובת עוברת במנהרה המיועדת, כי קידומות מקומיות ומרוחקות חופפות יכולות לשלוח את הבקשה למקום אחר לגמרי. ההבחנה הזו שווה לכתוב במדריך ההפעלה.
אם החיבור לא מגיע אף פעם, ודא שהשרת מאזין בממשק שאתה מצפה לו ושה-firewall של המארח מתיר את המקור שהוא באמת רואה. NAT של השער יכול לשכתב את המקור הזה, ולכן רשימת הרשאות שנכתבה לכתובת המנהרה של הלקוח עשויה לעולם לא להתאים.
חוסר ההתאמה הזה הוא כשל ה-SSH הנפוץ ביותר שיוצר את עצמו דרך VPN.
קרא את שלב הכשל, לא את השגיאה המשולבת
שלושה שלבים מייצרים שלוש הודעות שונות, ורק אחת מהן עוסקת באישורים.
| Stage | What you see | What it points at |
|---|---|---|
| Before the connection | Timeout, no route | Tunnel, route or gateway permission |
| Connection refused | Immediate reset | Nothing listening, or a host firewall rejecting |
| Authentication | Permission denied after a prompt | User, key or server policy |
השתמש בשגיאה המדויקת ובלוג של השרת עצמו במקום לאפס יחד את אישורי ה-VPN וה-SSH. איפוס שניהם הוא הדרך שבה אבחון של חמש דקות הופך לתקרית זהות של יומיים.
הפלט המפורט מראה לאיזה שלב הגעת:
ssh -vv [email protected]שמור על שלמות מפתחות המארח וההרשאה
אמת את מפתח המארח דרך התהליך המהימן המיועד, במיוחד לאחר החלפת שרת. אזהרה בלתי צפויה על מפתח שהשתנה היא ההודעה היחידה שאסור להתעלם ממנה רק מפני שה-VPN התחבר, כי מנהרה פרטית לא הופכת את היעד למכונה שאתה חושב. בדוק את טביעת האצבע מול מקור שאתה סומך עליו ללא תלות בחיבור.
בצד השרת, ודא שהחשבון מורשה וששיטת האימות שהגדרת היא זו שמוצעת. מפתח שקיים אך מתעלמים ממנו הוא בדרך כלל בעיית הרשאות או תצורה ולא בעיית רשת.
הגבל את גישת השירות לזהויות הנדרשות ושמור נתיב שחזור מורשה לשינויים ברשת.