SSH बास्टियन या सीधी VPN पहुँच: कौन-सी नीति लागू होती है?

क्या VPN उपयोगकर्ता जंप होस्ट पार किए बिना सर्वर तक पहुँच सकते हैं, यह नेटवर्किंग की पोशाक पहने नीति का प्रश्न है। यदि बास्टियन कोई अनिवार्य नियंत्रण करता है, तो VPN से जुड़ने का रास्ता उसी तक जाना चाहिए, उसके चारों ओर से नहीं। यदि जंप होस्ट केवल उस खंड को जोड़ता था जो पहले अगम्य था, तो एक संकरा सीधा मार्ग ईमानदार विकल्प हो सकता है। नीचे दी गई जाँचें क्रम से करें और पहली असफल जाँच पर रुकें, क्योंकि वही उत्तर बाकी तय करता है।

जाँचें कि बास्टियन वास्तव में क्या नियंत्रित करता है

डिज़ाइन दस्तावेज़ के चित्र से नहीं, वर्तमान के प्रमाण से शुरू करें। लक्ष्य का SSH कॉन्फ़िगरेशन और पैकेट फ़िल्टर देखें: यदि इनबाउंड पोर्ट 22 केवल बास्टियन के पते से स्वीकार होता है, तो जंप होस्ट एक थोपा गया नियंत्रण है। यदि वही पोर्ट पूरे VPN पूल से कनेक्शन स्वीकार करता है, तो बास्टियन केवल एक सुविधा था और प्रवर्तन कहीं और रहता है। टिकट इतिहास प्रायः पुष्टि करता है कि दोनों में से पहले कौन था।

निष्कर्ष को एक वाक्य में कहें जो बास्टियन द्वारा दिए जाने वाले नियंत्रण का नाम ले: गंतव्य प्रतिबंध, दूसरा प्रमाणीकरण चरण, सत्र रिकॉर्डिंग, या किसी घटना के दौरान परिचालन दृश्यता। वही वाक्य है जिसे प्रतिस्थापन नीति को सुरक्षित रखना है।

जाँचें कि लक्ष्य मार्गों में भेद कर सकता है या नहीं

स्रोत-पते के नियम केवल तभी काम करते हैं जब दोनों मार्ग भिन्न स्रोत पतों के साथ पहुँचें। जो VPN गेटवे सर्वर सबनेट की ओर ट्रैफ़िक का मास्किंग करता है, वह उस अंतर को मिटा देता है, और फिर पोर्ट 22 पर हर कनेक्शन गेटवे से आता प्रतीत होता है। जाँच लक्ष्य पर ही स्थानीय है और एक क्षण लेती है: स्थापित SSH सत्रों की सूची बनाएँ और हर एक के सहकर्मी पते को पढ़ें।

जब दोनों मार्ग एक ही पते में समा जाएँ, तो भेद पहले करना होगा — यह तय करके कि VPN को किन गंतव्यों तक भेजने की अनुमति है और गेटवे के अपने फ़िल्टर से। ऐसी स्थिति में लक्ष्य पर नियम जोड़ना जो पहुँचता है उसे बदले बिना सीमा का भ्रम पैदा करता है।

जाँचें कि हर रिकॉर्ड वास्तव में क्या रखता है

तीन भिन्न लॉग तीन भिन्न घटनाओं का वर्णन करते हैं, और कोई भी दूसरे का स्थान नहीं लेता। VPN का कनेक्शन रिकॉर्ड दिखाता है कि कोई पहचान नेटवर्क के दायरे में आई। बास्टियन का अग्रेषण रिकॉर्ड दिखाता है कि कोई TCP चैनल उसे गंतव्य और पोर्ट की ओर छोड़ता है। लक्ष्य का प्रमाणीकरण लॉग दिखाता है कि कोई खाता SSH से साइन इन हुआ। इन्हें साथ पढ़ना ही समयरेखा बनाता है; केवल एक पढ़ना अनुमान बनाता है।

इनमें से कोई भी रिकॉर्ड यह नहीं रखता कि क्लाइंट और लक्ष्य के बीच एन्क्रिप्टेड सत्र के भीतर क्या हुआ। यदि कमांड-स्तर की समीक्षा अपेक्षित है, तो उसके लिए जानबूझकर तैनात रिकॉर्डिंग तंत्र चाहिए, जिसके अपने डेटा-प्रबंधन नियम हों। जंप-होस्ट लॉग से इसकी अपेक्षा करना वही तरीका है जिससे एक ऑडिट अंतराल तब तक छिपा रहता है जब तक वह मायने न रखे।

जाँचें कि नीति वास्तव में कहाँ लागू होती है

ProxyJump जैसा क्लाइंट सेटिंग एक अनुरोध है, प्रतिबंध नहीं। OpenSSH प्रसन्नता से सीधा कनेक्शन खोल देगा जब गंतव्य पहुँच में हो, इसलिए लैपटॉप की कॉन्फ़िगरेशन फ़ाइलें मंशा बताती हैं जबकि फ़ायरवॉल परिणाम तय करते हैं। प्रवर्तन VPN गेटवे के अनुमत गंतव्यों और लक्ष्य के अपने पहुँच नियमों में होता है, और उपयोगकर्ता इनमें से किसी को संपादित नहीं कर सकता। साथ ही वैकल्पिक मार्गों का ऑडिट करें: दूसरा इंटरफ़ेस, सार्वजनिक श्रोता, मेश परत या पुरानी साइट-से-साइट सुरंग — इनमें से हर एक उस शॉर्टकट को बहाल कर सकता है जिसे आपने अभी बंद किया है।

फिर भी ProxyJump कॉन्फ़िगर करें, क्योंकि यह अनुमोदित मार्ग को आसान बनाता है और नियमित काम को अपवाद बनाने से रोकता है। भरोसा करने से पहले पुष्टि करें कि क्लाइंट वास्तव में क्या हल करता है।

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

जानबूझकर किए गए सीधे प्रयास से सत्यापित करें

जो नीति कभी परखी नहीं गई वह आशा है। VPN से जुड़े क्लाइंट से उस मार्ग का प्रयास करें जिसे अब अस्वीकार होना चाहिए, फिर अनुमोदित मार्ग का प्रयास करें, और दोनों परिणाम रखें। अस्वीकृत प्रयास ही इस बात का प्रमाण है कि परिवर्तन प्रभावी हुआ।

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

स्वच्छ परिणाम लक्ष्य पते की ओर अस्वीकृत या समय-समाप्त सीधे कनेक्शन जैसा दिखता है, जिसके बाद जंप होस्ट पर सफल साइन-इन और लक्ष्य की ओर समर्थित स्रोत का नाम लेने वाली प्रमाणीकरण प्रविष्टि आती है। इसके अलावा कुछ भी इसका अर्थ है कि सीमा अब भी छिद्रयुक्त है, दस्तावेज़ चाहे कुछ भी कहें। तारीख, बदला गया नियम और दोनों परिणाम दर्ज करें, फिर पुनर्प्राप्ति मार्ग को एक स्वामी और एक समाप्ति तिथि दें ताकि आपातकालीन पहुँच चुपचाप रोज़मर्रा का मार्ग न बन जाए।