SSH bastion ili izravan VPN pristup: koja politika vrijedi?

Pitanje mogu li VPN korisnici doći do poslužitelja bez prelaska preko jump hosta jest pitanje politike u mrežnom kostimu. Ako bastion obavlja obaveznu kontrolu, tada priključenje na VPN mora voditi do njega, a ne oko njega. Ako je jump host samo premošćivao segment koji je prije bio nedostupan, uska izravna putanja može biti poštena zamjena. Prođite kroz provjere ispod redom i zaustavite se na prvoj koja padne, jer taj odgovor odlučuje o ostalima.

Provjerite čime bastion zapravo upravlja

Počnite s dokazima o sadašnjosti, a ne s dijagramom iz projektnog dokumenta. Pogledajte SSH konfiguraciju i filtar paketa na cilju: ako se ulazni port 22 prihvaća samo s adrese bastiona, jump host je nametnuta kontrola. Ako isti port prihvaća veze iz cijelog VPN pula, bastion je bio pogodnost, a nametanje živi negdje sasvim drugdje. Povijest zahtjeva obično potvrđuje koje je od dvoga postojalo prvo.

Iznesite nalaz u jednoj rečenici koja imenuje kontrolu koju bastion pruža: ograničenje odredišta, drugi korak autentifikacije, snimanje sesije ili operativna vidljivost tijekom incidenta. Ta rečenica je ono što politika zamjene mora sačuvati.

Provjerite može li cilj razlikovati putanje

Pravila izvorne adrese rade samo dok dvije putanje dolaze s različitim izvornim adresama. VPN gateway koji maskira promet prema podmreži poslužitelja briše tu razliku, i tada svaka veza na port 22 izgleda kao da dolazi s gatewaya. Provjera je lokalna na cilju i traje trenutak: izlistajte uspostavljene SSH sesije i pročitajte adresu partnera za svaku.

Kada se obje putanje stope u jednu adresu, razlikovanje se mora napraviti ranije — kroz odredišta koja VPN smije gurati i kroz vlastite filtre gatewaya. Dodavanje pravila na cilju u takvoj situaciji stvara iluziju granice bez promjene onoga što stiže.

Provjerite što svaki zapis zaista drži

Tri različita zapisa opisuju tri različita događaja i nijedan ne zamjenjuje drugi. Zapis o vezi VPN-a pokazuje da je identitet ušao u mrežni obim. Zapis o prosljeđivanju bastiona pokazuje TCP kanal koji ga napušta prema odredištu i portu. Zapis autentifikacije na cilju pokazuje da se račun prijavio preko SSH-a. Zajedničko čitanje stvara vremensku liniju; čitanje samo jednog stvara nagađanje.

Nijedan od tih zapisa ne sadrži ono što se dogodilo unutar šifrirane sesije između klijenta i cilja. Ako je pregled na razini naredbi obavezan, potreban je namjerno postavljen mehanizam snimanja s vlastitim pravilima obrade podataka. Očekivati to od zapisa jump hosta način je na koji auditna praznina ostaje skrivena dok ne postane važna.

Provjerite gdje se politika zapravo primjenjuje

Klijentska postavka poput ProxyJump je zahtjev, ne ograničenje. OpenSSH će rado otvoriti izravnu vezu kada je odredište dostupno, pa konfiguracijske datoteke na prijenosnicima opisuju namjeru, dok vatrozidi odlučuju o ishodu. Nametanje pripada dopuštenim odredištima VPN gatewaya i vlastitim pravilima pristupa cilja, a korisnik ne može uređivati ni jedno ni drugo. Istodobno revidirajte alternativne putanje: drugo sučelje, javni listener, mesh overlay ili stariji site-to-site tunel svaki može vratiti prečicu koju ste upravo zatvorili.

Ipak konfigurirajte ProxyJump, jer odobrenu rutu čini lakom i sprječava da rutinski rad stvara izuzetke. Potvrdite što klijent zaista razrješava prije nego mu povjerujete.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Provjerite namjernim izravnim pokušajem

Politika koja nikad nije testirana je nada. S klijenta priključenog na VPN pokušajte putanju koja sada treba biti odbijena, zatim pokušajte odobrenu i sačuvajte oba rezultata. Odbijeni pokušaj je dokaz da je promjena stupila na snagu.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Čist rezultat izgleda kao odbijena ili istekla izravna veza na adresu cilja, praćena uspješnom prijavom na jump host i unosom autentifikacije na strani cilja koji imenuje podržani izvor. Sve drugo znači da je granica još propusna, što god dokumentacija tvrdila. Zabilježite datum, promijenjeno pravilo i oba ishoda, zatim dajte putanji oporavka vlasnika i rok trajanja kako hitni pristup ne bi tiho postao svakodnevna ruta.