SSH բաստիոն թե ուղիղ VPN մուտք՝ ո՞ր քաղաքականությունն է գործում։

Այն հարցը, թե VPN-ի օգտատերերը կարող են հասնել սերվերներին առանց ցատկող հոսթը հատելու, ցանցային հանդերձանքով քաղաքականության հարց է։ Եթե բաստիոնը կատարում է պարտադիր վերահսկողություն, ապա VPN-ին միանալը պետք է տանի դեպի այն, ոչ թե շուրջը։ Եթե ցատկող հոսթը միայն կամուրջ էր հանդիսանում մի հատվածի, որը նախկինում անհասանելի էր, նեղ ուղիղ ուղին կարող է լինել ազնիվ փոխարինումը։ Կատարեք ստորև նշված ստուգումները հերթով և կանգ առեք առաջին ձախողվածի վրա, քանի որ այդ պատասխանը որոշում է մնացածը։

Ստուգեք, թե բաստիոնն ինչ է իրականում վերահսկում

Սկսեք ներկայի մասին ապացույցներից, ոչ թե նախագծային փաստաթղթի դիագրամից։ Նայեք թիրախի SSH կազմաձևին և փաթեթների զտիչին. եթե մուտքային 22 պորտը ընդունվում է միայն բաստիոնի հասցեից, ցատկող հոսթը պարտադրված վերահսկողություն է։ Եթե նույն պորտն ընդունում է կապեր ամբողջ VPN լողավազանից, բաստիոնը պարզապես հարմարավետություն էր, և պարտադրումը բոլորովին այլ տեղ է ապրում։ Տոմսերի պատմությունը սովորաբար հաստատում է, թե երկուսից որն է ավելի վաղ եղել։

Ձևակերպեք հայտնաբերումը մեկ նախադասությամբ՝ անվանելով այն վերահսկողությունը, որը տալիս է բաստիոնը. նպատակակետի սահմանափակում, նույնականացման երկրորդ քայլ, նստաշրջանի ձայնագրում կամ գործառնական տեսանելիություն միջադեպի ընթացքում։ Հենց այդ նախադասությունն է, որ փոխարինող քաղաքականությունը պետք է պահպանի։

Ստուգեք, թե թիրախը կարո՞ղ է տարբերել ուղիները

Աղբյուրի հասցեի կանոնները գործում են միայն այնքան ժամանակ, քանի դեռ երկու ուղիները գալիս են տարբեր աղբյուրի հասցեներով։ VPN դարպասը, որը քողարկում է դեպի սերվերների ենթացանց երթևեկությունը, ջնջում է այդ տարբերությունը, և այնուհետև 22 պորտի յուրաքանչյուր կապ թվում է, թե գալիս է դարպասից։ Ստուգումը տեղական է թիրախի վրա և տևում է մի պահ. թվարկեք հաստատված SSH նստաշրջանները և կարդացեք յուրաքանչյուրի զուգընկերոջ հասցեն։

Երբ երկու ուղիներն էլ միաձուլվում են մեկ հասցեի մեջ, տարբերակումը պետք է արվի ավելի վաղ՝ այն նպատակակետերով, որոնք VPN-ին թույլատրվում է ուղարկել, և դարպասի սեփական զտիչներով։ Նման իրավիճակում թիրախի վրա կանոն ավելացնելը ստեղծում է սահմանի պատրանք՝ չփոխելով այն, ինչ գալիս է։

Ստուգեք, թե յուրաքանչյուր գրառում ինչ է պահում

Երեք տարբեր մատյան նկարագրում են երեք տարբեր իրադարձություն, և ոչ մեկը չի փոխարինում մյուսին։ VPN-ի կապի գրառումը ցույց է տալիս, որ ինքնությունը մտել է ցանցի շրջանակ։ Բաստիոնի փոխանցման գրառումը ցույց է տալիս TCP ալիք, որը լքում է այն դեպի նպատակակետ և պորտ։ Թիրախի նույնականացման մատյանը ցույց է տալիս, որ հաշիվը մուտք է գործել SSH-ով։ Հենց դրանք միասին կարդալն է ստեղծում ժամանակագրություն. մեկը առանձին կարդալը ստեղծում է ենթադրություն։

Այդ գրառումներից ոչ մեկը չի պարունակում այն, ինչ տեղի է ունեցել հաճախորդի և թիրախի միջև գաղտնագրված նստաշրջանի ներսում։ Եթե հրամանի մակարդակի վերանայումը պահանջ է, դա կարիք ունի դիտավորյալ տեղակայված ձայնագրման մեխանիզմի՝ տվյալների մշակման իր կանոններով։ Դա ցատկող հոսթի մատյաններից սպասելը հենց այն ձևն է, որով աուդիտի բացը թաքնված է մնում, մինչև կարևոր դառնալը։

Ստուգեք, թե որտեղ է քաղաքականությունն իրականում կիրառվում

Հաճախորդի այնպիսի կարգավորում, ինչպիսին ProxyJump-ն է, խնդրանք է, ոչ սահմանափակում։ OpenSSH-ը սիրով կբացի ուղիղ կապ, երբ նպատակակետը հասանելի է, ուստի նոթբուքերի կազմաձևման ֆայլերը նկարագրում են մտադրություն, մինչդեռ հրային պատերը որոշում են արդյունքը։ Պարտադրումը պատկանում է VPN դարպասի թույլատրված նպատակակետերին և թիրախի սեփական մուտքի կանոններին, և օգտատերը չի կարող խմբագրել ոչ մեկը։ Միևնույն ժամանակ աուդիտ արեք այլընտրանքային ուղիները. երկրորդ ինտերֆեյսը, հանրային լսողը, mesh շերտը կամ հին կայք-կայք թունելը կարող են վերականգնել հենց նոր փակված կարճուղին։

Այնուամենայնիվ կարգավորեք ProxyJump-ը, որովհետև այն հաստատված ուղին դարձնում է հեշտը և թույլ չի տալիս առօրյա աշխատանքին բացառություններ ստեղծել։ Հաստատեք, թե հաճախորդն իրականում ինչ է լուծում, նախքան վստահելը։

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Ստուգեք դիտավորյալ ուղիղ փորձով

Քաղաքականությունը, որը երբեք չի փորձարկվել, հույս է։ VPN-ին միացած հաճախորդից փորձեք այն ուղին, որը հիմա պետք է մերժվի, ապա փորձեք հաստատվածը, և պահպանեք երկու արդյունքները։ Մերժված փորձը այն ապացույցն է, որ փոփոխությունն ուժի մեջ է մտել։

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Մաքուր արդյունքը նման է թիրախի հասցեին մերժված կամ ժամկետանց ուղիղ կապի, որին հաջորդում է հաջող մուտք ցատկող հոսթ և թիրախի կողմում նույնականացման գրառում՝ նշելով աջակցվող աղբյուրը։ Ցանկացած այլ բան նշանակում է, որ սահմանը դեռ ծակոտկեն է, ինչ էլ ասի փաստաթղթավորումը։ Գրանցեք ամսաթիվը, փոփոխված կանոնը և երկու արդյունքները, ապա վերականգնման ուղուն տվեք սեփականատեր և ժամկետ որպեսզի արտակարգ մուտքը լուռ չդառնա առօրյա ուղի։