Fjartengd SSH yfir VPN: hvað göngin gera ekki
VPN gerir SSH-þjón náanlegt og ekkert meira. Þrjú skilyrði ákvarða hvort það hentar, og bilunarstigið sýnir hvaða lag er sekur.
VPN gefur SSH-þjóni einkaleið og fjarlægir þörfina fyrir opinberan hlustanda á porti 22. Það auðkennir ekki hýsilinn, heimilar ekki notandann og ákveður ekki hvaða reikningar mega skrá sig inn. Það er áfram verk SSH. Hvort VPN er rétta leiðin til að ná þjóninum fer eftir þremur skilyrðum, og göngin eru aðeins eitt af mögulegu svörunum.
Hvað göngin breyta og hvað SSH ákveður enn
Göngin breyta aðgengi: hvaða vistföng er hægt að ná og hvaðan. Þau breyta ekki því sem gerist eftir að TCP-tengingin kemur, þar sem þjónninn sýnir hýsillykil og biður um auðkenni notanda.
Haltu lögunum tveimur aðskildum í höfðinu og í skjölunum þínum. VPN-innskráning sannar hver má nota netið. Hún segir ekkert um hvaða reikningar eru til á markinu, og hún er ekki leyfi til að skrá sig inn á hverja náanlega vél.
Bilunaraðferðirnar eru líka aðskildar, og það er það sem gerir aðskilnaðinn gagnlegan í atviki.
Þrjú skilyrði sem ákvarða aðgangslíkanið
Í fyrsta lagi, þarf þjónninn að vera náanlegur fyrir fólk utan netsins þíns? Ef ekki, þá er einkaleið ásamt vígi eða neti minni hönnunin. Í öðru lagi, getur viðskiptavinahópurinn raunverulega keyrt VPN-biðlara, þar á meðal þeir sem eru á stýrðum tækjum með takmarkanir?
Í þriðja lagi, þarftu stjórn á hverri þjónustu eða stjórn á hverjum notanda? VPN veitir netaðgengi; SSH veitir aðgang að reikningi. Ef krafan er sú að verktaki nái einum hýsli og engu öðru, þá er það heimildarkrafa og göngin ein geta ekki tjáð hana.
Svaraðu þessum þremur og módelið velur sig sjálft. Sleppaðu þeim og þú endar á að afhjúpa SSH opinberlega til að forðast uppsetningu biðlarans.
Staðfestu einkaleiðina áður en þú kennir SSH um
Tengdu samþykkt VPN og notaðu skjalfest einkanafn eða vistfang marksins. Athugaðu síðan valda leið, heimild gáttarinnar og afturleiðina til biðlarans. Nafn sem leysist rétt er ekki sönnun þess að vistfangið taki tilætluð göng, því skarast staðbundin og fjarlæg forskeyti geta sent beiðnina allt annað. Þessi greinarmunur er þess virði að skrifa í runbookið.
Ef tengingin kemur aldrei, staðfestu að þjónninn hlusti á viðmótið sem þú býst við og að hýsilvegurbrunni hans leyfi upptökuna sem hann sér í raun. NAT gáttarinnar getur endurskrifað þá upptöku, svo leyfislisti skrifaður fyrir gönguvistfang biðlarans passar kannski aldrei.
Það misræmi er algengasta sjálfvaldið SSH-bilun yfir VPN.
Lestu bilunarstigið, ekki sameinuðu villuna
Þrjú stig framleiða þrjú mismunandi skilaboð, og aðeins eitt þeirra fjallar um skilríki.
| Stage | What you see | What it points at |
|---|---|---|
| Before the connection | Timeout, no route | Tunnel, route or gateway permission |
| Connection refused | Immediate reset | Nothing listening, or a host firewall rejecting |
| Authentication | Permission denied after a prompt | User, key or server policy |
Notaðu nákvæmu villuna og eigin annál þjónsins í stað þess að endurstilla bæði VPN- og SSH-skilríki samtímis. Að endurstilla bæði er hvernig fimm mínútna greining verður tveggja daga auðkennisatvik.
Ítarlegt útgangur sýnir hvaða stigi þú náðir:
ssh -vv [email protected]Haltu hýsillyklum og heimild ósnortnum
Staðfestu hýsillykilinn með tilætluðu traustu ferli, sérstaklega eftir skipti á þjóni. Óvænt viðvörun um breyttan lykil er eina skilaboðið sem þú mátt ekki hunsa bara vegna þess að VPN-tengingin tókst, því einkagöng gera áfangastaðinn ekki að þeirri vél sem þú heldur. Athugaðu fingrafarið gegn upptöku sem þú treystir óháð tengingunni.
Á þjónshlið, staðfestu að reikningurinn sé heimilaður og að auðkenningaraðferðin sem þú stilltir sé sú sem boðið er upp á. Lykill sem er til staðar en er hunsaður er venjulega heimilda- eða stillingarvandamál frekar en netvandamál.
Takmarkaðu þjónustuaðgang við nauðsynleg auðkenni og haltu heimiluðu endurheimtaleið fyrir netbreytingar.