SSH bastion vagy közvetlen VPN-hozzáférés: melyik szabály érvényes?

Az a kérdés, hogy a VPN-felhasználók elérhetnek-e kiszolgálókat ugrógazdagép megkerülése nélkül, hálózati jelmezbe öltözött szabálykérdés. Ha a bastion kötelező ellenőrzést végez, akkor a VPN-hez csatlakozásnak hozzá kell vezetnie, nem körülötte. Ha az ugrógazdagép csak egy korábban elérhetetlen szegmenst hídalt át, egy szűk közvetlen útvonal lehet a tisztességes helyettesítő. Végezze el az alábbi ellenőrzéseket sorrendben, és álljon meg az elsőnél, amely megbukik, mert az a válasz dönt a többiről.

Ellenőrizze, mit irányít a bastion valójában

A jelenről szóló bizonyítékokkal kezdjen, ne a tervezési dokumentum ábrájával. Nézze meg a cél SSH-konfigurációját és csomagszűrőjét: ha a bejövő 22-es portot csak a bastion címéről fogadja el, az ugrógazdagép kikényszerített ellenőrzés. Ha ugyanez a port a teljes VPN-készletből fogad kapcsolatokat, a bastion kényelmi megoldás volt, és a kikényszerítés egészen máshol él. A jegyelőzmények általában megerősítik, melyik létezett előbb.

Fogalmazza meg a leletet egyetlen mondatban, megnevezve az ellenőrzést, amelyet a bastion nyújt: célkorlátozás, második hitelesítési lépés, munkamenet-rögzítés vagy operatív láthatóság egy incidens alatt. Ezt a mondatot kell a helyettesítő szabálynak megőriznie.

Ellenőrizze, meg tudja-e különböztetni a cél a két útvonalat

A forráscím-szabályok csak addig működnek, amíg a két útvonal különböző forráscímmel érkezik. Az a VPN-átjáró, amely elfedi a kiszolgáló alhálózat felé irányuló forgalmat, eltünteti ezt a különbséget, és akkor minden kapcsolat a 22-es portra úgy tűnik, mintha az átjáróról érkezne. Az ellenőrzés a célon helyi, és egy pillanatot vesz igénybe: listázza a létrejött SSH-munkameneteket, és olvassa el mindegyik partnere címét.

Amikor mindkét útvonal egyetlen címbe omlik, a megkülönböztetést korábban kell megtenni: azokkal a célokkal, amelyekre a VPN továbbíthat, és az átjáró saját szűrőivel. Egy szabály hozzáadása a célon ilyen helyzetben a határ illúzióját kelti anélkül, hogy megváltoztatná, mi érkezik.

Ellenőrizze, mit őriz valójában az egyes rekordok

Három különböző napló három különböző eseményt ír le, és egyik sem helyettesít egy másikat. A VPN kapcsolati rekordja azt mutatja, hogy egy identitás belépett a hálózati hatókörbe. A bastion továbbítási rekordja egy TCP-csatornát mutat, amely elhagyja egy cél és port felé. A cél hitelesítési naplója azt mutatja, hogy egy fiók SSH-n keresztül bejelentkezett. Együttes olvasásuk ad idővonalat; egyedül egy olvasása találgatást ad.

Ezek egyike sem tartalmazza, mi történt a kliens és a cél közötti titkosított munkamenet belsejében. Ha a parancsszintű áttekintés követelmény, szükség van egy szándékosan telepített rögzítési mechanizmusra, saját adatkezelési szabályokkal. Ezt az ugrógazdagép naplóitól várni az az út, ahogy egy auditrés titokban marad, amíg számítani nem kezd.

Ellenőrizze, hol érvényesül a szabály valójában

Egy olyan kliensbeállítás, mint a ProxyJump, kérés, nem korlátozás. Az OpenSSH készséggel nyit közvetlen kapcsolatot, amikor a cél elérhető, ezért a laptopok konfigurációs fájljai szándékot írnak le, miközben a tűzfalak döntenek az eredményről. A kikényszerítés a VPN-átjáró engedélyezett céljaihoz és a cél saját hozzáférési szabályaihoz tartozik, és egyiket sem szerkesztheti a felhasználó. Eközben auditálja az alternatív útvonalakat: egy második interfész, egy nyilvános figyelő, egy mesh-réteg vagy egy régebbi telephelyek közötti alagút mindegyike visszaállíthatja az éppen lezárt rövidítést.

Ennek ellenére állítsa be a ProxyJump-t, mert ez teszi a jóváhagyott útvonalat könnyűvé, és megakadályozza, hogy a rutinmunka kivételeket termeljen. Erősítse meg, mit old fel a kliens valójában, mielőtt megbízik benne.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Ellenőrizze szándékos közvetlen kísérlettel

A soha nem tesztelt szabály remény. A VPN-hez csatlakozó kliensről próbálja ki az útvonalat, amelyet most el kellene utasítani, aztán a jóváhagyottat, és őrizze meg mindkét eredményt. Az elutasított kísérlet a bizonyíték arra, hogy a változás hatályba lépett.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

A tiszta eredmény úgy néz ki, mint egy elutasított vagy időtúllépéssel megszakadt közvetlen kapcsolat a cél címére, amelyet sikeres bejelentkezés követ az ugrógazdagépre, valamint egy hitelesítési bejegyzés a cél oldalán, amely megnevezi a támogatott forrást. Bármi más azt jelenti, hogy a határ továbbra is likacsos, bármit is mond a dokumentáció. Jegyezze fel a dátumot, a megváltoztatott szabályt és a két eredményt, majd adjon a helyreállítási útvonalnak felelőst és lejárati dátumot hogy a vészhelyzeti hozzáférés ne váljon csendben mindennapi útvonallá.