SSH-bastíon eða beinn VPN-aðgangur: hvaða stefna gildir?

Hvort VPN-notendur megi ná í þjóna án þess að fara um stökkhýsil er stefnumál í netbúningi. Ef bastíonið sinnir nauðsynlegri stjórn verður innskráning í VPN að leiða til þess en ekki fram hjá því. Ef stökkhýsillinn brúaði aðeins bil sem áður var óaðgengilegt getur mjó bein slóð verið heiðarleg staðganga. Farðu í gegnum athuganirnar hér að neðan í röð og stansaðu við þá fyrstu sem bregst, því sú niðurstaða ræður hinu.

Athugaðu hvað bastíonið stýrir í raun

Byrjaðu á sönnunargögnum um núið, ekki skýringarmynd úr hönnunarskjali. Skoðaðu SSH-stillingu og pakkasíu marksins: ef tekið er við inngönguhliði 22 aðeins frá vistfangi bastíonsins er stökkhýsillinn þvinguð stjórn. Ef sama hlið tekur við tengingum úr öllu VPN-lauginni var bastíonið þægindi og framfylgdin býr allt annars staðar. Miðasaga staðfestir yfirleitt hvort þeirra varð fyrri.

Orðaðu niðurstöðuna í einni setningu sem nefnir þá stjórn sem bastíonið veitir: takmörkun áfangastaðar, annað auðkenningarþrep, upptaka setu eða rekstrarsýn í atburði. Það er sú setning sem staðgöngustefnan verður að varðveita.

Athugaðu hvort markið greinir slóðirnar

Reglur um upprunavistfang virka aðeins á meðan slóðirnar tvær koma með ólík upprunavistföng. VPN-gátt sem dulbýr umferð til netþjónaundirnetsins þurrkar út þann mun, og þá virðist hver tenging við hlið 22 koma frá gáttinni. Athugunin er staðbundin á markinu og tekur augnablik: skráðu virkar SSH-setur og lestu jafningjavistfang hverrar.

Þegar báðar slóðir falla saman í eitt vistfang verður að greina áður, með þeim áfangastöðum sem VPN má ýta til og með síum gáttarinnar sjálfrar. Að bæta reglu á markinu í slíkri stöðu skapar tálsýn um mörk án þess að breyta því sem kemur inn.

Athugaðu hvað hver færsla geymir í raun

Þrjú ólík logs lýsa þremur ólíkum atburðum og ekkert þeirra kemur í stað annars. Tengingarfærsla VPN sýnir að auðkenni gekk inn í netsviðið. Framvísunafærsla bastíonsins sýnir TCP-rás sem yfirgefur það til áfangastaðar og hliðar. Auðkenningarlog marksins sýnir að reikningur skráði sig inn um SSH. Það er lestur þeirra saman sem býr til tímalínu; lestur eins einan skapar ágiskun.

Ekkert þessara færslna geymir það sem gerðist inni í dulkóðuðu setunni milli biðlara og marks. Ef endurskoðun á stigi skipana er krafa þarf hana að styðja við upptökukerfi sem komið er fyrir af ásettu ráði með eigin reglum um meðferð gagna. Að ætlast til þess frá logum stökkhýsilsins er leiðin sem endurskoðunargat helst falið þar til það skiptir máli.

Athugaðu hvar stefnunni er í raun framfylgt

Stilling biðlara eins og ProxyJump er beiðni, ekki takmörkun. OpenSSH opnar fúslega beina tengingu þegar áfangastaðurinn er aðgengilegur, svo stillingaskrár á fartölvum lýsa áformum á meðan eldveggir ráða úrslitum. Framfylgdin á heima hjá leyfðum áfangastöðum VPN-gáttarinnar og hjá eigin aðgangsreglum marksins, og hvorugt getur notandinn breytt. Endurskoðaðu jafnframt aðrar slóðir: annað tengi, opinber hlustandi, mesh-lag eða eldri stöðvar-til-stöðvar göng geta hvert um sig endurvakið þá styttingu sem þú varst að loka.

Stilltu samt ProxyJump, því það gerir samþykktu leiðina að þeirri auðveldu og kemur í veg fyrir að rútínuverk skapi undantekningar. Staðfestu hvað biðlarinn leysir í raun áður en þú treystir honum.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Staðfestu með viljandi beinni tilraun

Stefna sem aldrei hefur verið prófuð er von. Frá biðlara tengdum VPN skaltu reyna slóðina sem nú ætti að synja, síðan þá samþykktu, og geyma báðar niðurstöður. Synjuð tilraun er sönnunin fyrir því að breytingin tók gildi.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Hrein niðurstaða lítur út eins og synjuð eða tímaútrunnin bein tenging við vistfang marksins, sem fylgir árangursrík innskráning á stökkhýsilinn og auðkenningarfærsla á markhlið sem nefnir studda uppsprettu. Hvað annað þýðir að mörkin eru enn gropin, hvað sem skjölin segja. Skráðu dagsetningu, breyttu regluna og báðar niðurstöður, og gefðu endurreisnarslóðinni eiganda og gildistíma þannig að neyðaraðgangur verði ekki hljóðlega hversdagslega leiðin.