Haltu staðbundnu SSH þegar hýsillinn keyrir útleiðandi VPN

Lítill Linux-þjónn keyrir útleiðandi VPN fyrir forritið sem hann hýsir, og stjórnandinn vill samt ná í hann með SSH frá borðinu við hliðina. Það er sanngjarnt krafa, og venjulega þarf hún hvorki portflutning, veitandaheimilisfang né gat á göngunum. Það sem hún þarf er stjórnunarleið sem er hönnuð af ásettu ráði í stað þess að vera erfð frá því sem VPN-biðlarinn gerði við leiðartöfluna.

Skrefin hér að neðan gera ráð fyrir að stjórnandinn sé á sama LAN.Fjarnstjórnun er annað vandamál með annað svar.

Binddu SSH við heimilisfangið sem stjórnendur nota

Byrjaðu á hlustandanum.ss -ltnp | grep :22 sýnir við hvað sshd er bundinn, og hlustandi á 0.0.0.0 tekur við tengingum frá hverju tengi, þar á meðal göngunum. Að binda við LAN-heimilisfangið er þrengra og gerir ásetninginn sýnilegan:ListenAddress 192.168.10.20 í sshd_config, og á eftir kemur stillingarpróf og endurhleðsla. Innsláttarvilla í því heimilisfangi er sýnilegri en algildisstafur, því sshd neitar að ræsa þegar heimilisfangið er ekki til.

Haltu athugun hýsilinnslykils og auðkenningu hvers notanda nákvæmlega eins og þær eru. „Þetta er bara staðbundið net“ er ekki auðkenningaraðferð, og stjórnunarrás sem sleppir lykilathugun vegna þess að leiðin er stutt er stjórnunarrás sem bíður misnotkunar. DHCP-frátekt eða kyrrstætt heimilisfang gerir skotmarkið fyrirsjáanlegt án þess að gera það að opinberri auðkenni þjónsins.

Haltu LAN-leiðinni utan gönganna

Hýsill með heimilisfang á 192.168.10.0/24 hefur tengda leið fyrir það forskeyti, og sértækari leið vinnur sjálfgefna leið VPN innan sömu töflu. Þess vegna heldur staðbundið SSH oft áfram að virka af sjálfu sér þegar göngin koma upp. Staðfestu það í stað þess að gera ráð fyrir:ip route get 192.168.10.50 nefnir tengið og upprunheimilisfangið sem kjarninn myndi nota, og svarið ætti að vera LAN-tækið, ekki göngin. Endurtaktu athugunina líka frá vél stjórnandans, því hennar eigin tafla ræður því hvort pakkarnir berist nokkurn tíma. Tveir hýslar á sömu vír geta verið ósammála um hvaða átt er aðgengileg.

Forsendan brestur á tveimur stöðum. Stefnutengd leiðarregla getur sent umferð í töflu þar sem sjálfgefið bendir inn í göngin áður en aðaltaflan er skoðuð. VPN-biðlari með læsingar- eða kill-switch eiginleika getur líka lokað á umferð sem fer ekki inn í göngin, óháð því hvað leiðartaflan segir.

Leiðstýrð stjórnunar-VLAN eru hitt tilfellið. Ef stjórnandinn situr á 192.168.50.0/24 bak við staðbundna beininn þarf þjónninn skýra leið fyrir það forskeyti í gegnum 192.168.10.1, og sú leið verður að standast endurtengingu. Haltu undantekningunni sértækri fyrir stjórnunarforskeytið; breið undantekning fyrir einkanet brýtur tilgang ganganna.

Gerðu eldveggjarundantekninguna eins þrönga og regluna

Ef hýsillinn keyrir eldvegg skaltu aðeins leyfa SSH frá stjórnunarupprunanum og aðeins á LAN-tenginu. Regla sem leyfir port 22 hvaðan sem er er breiðari en krafan og erfiðari að réttlæta í yfirferð. Á nftables-hýsli tilheyrir reglan inntakskeðjunni með tenginu og upprunanum samsvöruðum; á iptables-hýsli er hliðstæðan par af samsvörunum á -i og -s. Athugasemdu regluna með stjórnendahópnum sem hún þjónar, svo næsta úttekt þurfi ekki að giska á hvers vegna port 22 er opið.

Athugaðu líka eigið sía VPN-biðlarans. Sumir biðlarar setja upp reglur sem sleppa staðbundinni umferð að hönnun, og rétt eldveggjarregla ofan á sleppingu á biðlarastigi breytir engu. Lestu stillingar biðlarans áður en þú breytir eldvegg hýsilsins, því tvær síur í röð framleiða bilun sem líkist hvorugri þeirra.

Prófaðu báðar stöður

Keyrðu prófið tvisvar: einu sinni með göngin tengd og einu sinni ótengd. Í hvorri stöðu skaltu staðfesta hlustandann, leiðina og raunverulega SSH-innskráningu frá vél stjórnandans. Leið sem virkar aðeins meðan göngin eru uppi er ekki staðbundin stjórnunarleið; það er tilviljun.

Endurræstu svo göngin meðan SSH-fundur er opinn. Fundur sem lifir af sannar að leiðstýringin sé stöðug; fundur sem dettur út segir þér að biðlarinn sé að endurskrifa leiðir eða síur við endurtengingu, sem er þess virði að vita fyrir atburð frekar en á meðan honum stendur.

Skráðu upprunheimilisfangið sem þú prófaðir frá, því regla skrifuð fyrir 192.168.10.50 bregst hljóðlaust þegar fartölva stjórnandans flyst á annað undirnet.

Skrifaðu endurheimtarleiðina í runbook

Ákveddu nú hvað gerist ef útleiðandi VPN brýtur staðbundnu leiðina. Aðgangur um stjórnborð, annað stjórnunarheimilisfang eða skjalfest aðferð til að stöðva biðlarann eru öll lögmæt svör, og hvert þeirra er betra en að uppgötva vandamálið á þeirri stundu sem þú þarft að skrá þig inn. Ef þjónninn er fjarlægur er staðbundna leiðin ekki til, og rétta hönnunin er aðskilin samþykkt fjaraðgangsleið eða bastíon í stað opins opinbers ports.

Haltu hlutverkunum tveimur aðskildum í skjölunum: staðbundið SSH fyrir stjórnandann sem er nálægur, og útleiðandi göngin fyrir umferð forritsins. Þegar þessi hlutverk eru skrifuð niður hefur framtíðarbreyting á öðru hvoru augljósan stað til að athuga, og næsta manneskja þarf ekki að enduruppgötva hvers vegna þjónn með VPN svarar enn á LAN-heimilisfanginu sínu.