rsync um VPN: daemonport 873 gegn SSH-stillingu

Að leyfa TCP 873 á tunnilsskurðinum ýtir rsync ekki í gegnum OpenVPN, og gerir heldur ekki að hinum endanum taka við einingunni. Tunnill ber innri tengingu þar sem reglur um samskiptareglur og áfangastað eru nákvæmlega óbreyttar. Fyrsta spurningin er því ekki hvaða port á að opna, heldur hvers konar tengingu rsync myndar. Allt hér að neðan gerir ráð fyrir að tunnillinn sé þegar í gangi og aðeins innri þjónustan sé enn til umræðu.

Ákvarðaðu hvers konar tengingu rsync myndar í raun

Fjartengda viðfangið í skipuninni svarar þeirri spurningu yfirleitt áður en einhver eldveggsbreyting á sér stað. Tvöfaldur tvípunktur eða URL-skema velur daemoninn, en einn tvípunktur eftir hýsilnafni velur fjarskel. Lestu viðfangið sem þú keyrir í raun, ekki það sem er í dæminu í skjölunum.

Skýr valkostur um fjarskel getur breytt svarinu aftur, því hann segir rsync hvaða forrit eigi að ræsa fyrir flutninginn. Lestu alla skipanalínuna, þar á meðal erfd umbúðaskrift, ekki aðeins hýsilhlutann.

Daemonstilling: bindandi vistfang, eining og port

Í setningafræði daemonsins nefnir slóðarhlutinn stillta einingu, ekki möppu á diski. Lykilorð einingar er aðeins athugað eftir að tengingunni hefur verið tekið, og einingin getur að auki verið ritvarin eða falin úr skráningunni. Þessi röð skiptir máli þegar þú lest villu, því hafnaðri tengingu og hafnaðri einingu er mistekist á tveimur mismunandi stigum. Hvorki skilaboðin segja þér neitt um tunnilinn sjálfan.

Sjálfstæðan daemon má festa við vistfang tunnilsins í stillingaskránni, sem heldur honum utan opinbera skurðarins án nokkurrar eldveggsreglu. Gildið verður að vera til staðar þegar daemoninn bindur sig, og hlustandi sem er virkjaður með socket eða stýrt af inetd getur hunsað það algjörlega.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Prófaðu síðan gegn einkavistfanginu í stað opinbera nafnsins. Opið hýsilnafn leysist í WAN-vistfang og fer aðra leið, jafnvel þegar ein vél svarar báðum.

rsync --list-only rsync://10.44.0.1/archive/

Fjarskeljarstilling: SSH ber flutninginn

Með einum tvípunkti ræsir rsync fjarskeljarforrit og talar samskiptareglur þess um þá rás, svo eina þjónustan sem er aðgengileg er SSH á hvaða porti sem þjónninn hlustar á. Daemon rsync keyrir aldrei, port 873 er óviðkomandi og aðgangsákvörðunin verður ákvörðun um SSH-reikning. Fjarslóðin er þá raunveruleg slóð í skráakerfinu sem skelin hinum megin túlkar. Þess vegna gerir eldveggsbreyting sem beinist að 873 ekkert sem helst fyrir þessa stillingu.

Þessi hönnun þarf heimilaðan reikning og sannprófun hýsillykils, og hún erfur eigin auðkenningarstefnu SSH. Oft er þetta betri kosturinn þegar flutningurinn verður að fara yfir ótraust net, því dulkóðunin tilheyrir samskiptareglum sem voru byggðar fyrir það. Daemon með lykilorðsbeiðni er ekki sama málið.

Opnaðu aðeins leiðina sem þú valdir

Þegar stillingin er ákveðin skaltu leyfa einu innri þjónustuna á einum skurði sem ber tunnilinn. Takmarkaðu regluna eftir skurði, upprunasafni og áfangavistfangi svo síðari breyting á sjálfgefinni synjun geti ekki víkkað hana hljóðlaust. Farðu síðan yfir röð reglnanna, því leyfisregla fyrr í keðjunni gerir þröngu regluna að skrautmun.

Ef daemoninn keyrir á vél bak við VPN-gáttina en ekki á gáttinni sjálfri þarf gáttin líka framsendingarleið og markið þarf eigið leyfi og afturleið. Að opna portið aðeins á gáttinni gefur tengingu sem er tekin og fer svo hvergi.

Sannprófaðu frá biðlaranum með sömu stillingu og áfangastað og þú ætlar að nota í framleiðslu. Árangursrík skráning sannar hlustandann, leiðina og regluna saman; tímamörk benda á leiðina og synjun bendir á hlustandann.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873