SSH ბასტიონი თუ პირდაპირი VPN წვდომა: რომელი პოლიტიკა მოქმედებს?

კითხვა იმის შესახებ, შეუძლიათ თუ არა VPN მომხმარებლებს სერვერებზე მისვლა ნახტომი ჰოსტის გვერდის ავლით, ქსელურ სამოსში გამოწყობილი პოლიტიკის საკითხია. თუ ბასტიონი ასრულებს სავალდებულო კონტროლს, მაშინ VPN-ზე მიერთებამ მასთან უნდა მიგვიყვანოს და არა მის გარშემო. თუ ნახტომი ჰოსტი მხოლოდ ხიდს ჰკიდებდა სეგმენტს, რომელიც ადრე მიუწვდომელი იყო, ვიწრო პირდაპირი ბილიკი შეიძლება იყოს პატიოსანი ჩანაცვლება. შეასრულეთ ქვემოთ მოცემული შემოწმებები თანმიმდევრობით და გაჩერდით პირველ წარუმატებელზე, რადგან სწორედ ეს პასუხი განსაზღვრავს დანარჩენს.

შეამოწმეთ, რას აკონტროლებს ბასტიონი სინამდვილეში

დაიწყეთ აწმყოს შესახებ მტკიცებულებებით და არა საპროექტო დოკუმენტის დიაგრამით. შეხედეთ სამიზნის SSH კონფიგურაციასა და პაკეტების ფილტრს: თუ შემომავალი 22 პორტი მიიღება მხოლოდ ბასტიონის მისამართიდან, ნახტომი ჰოსტი იძულებითი კონტროლია. თუ იმავე პორტს მთელი VPN აუზიდან მიიღება კავშირები, ბასტიონი მხოლოდ მოხერხებულობა იყო და აღსრულება სულ სხვაგან ცხოვრობს. ბილეთების ისტორია ჩვეულებრივ ადასტურებს, რომელი იყო ადრე.

ჩამოაყალიბეთ დაკვირვება ერთი წინადადებით, სადაც დასახელდება კონტროლი, რომელსაც ბასტიონი იძლევა: დანიშნულების შეზღუდვა, ავთენტიფიკაციის მეორე ნაბიჯი, სესიის ჩაწერა ან ოპერაციული ხილვადობა ინციდენტის დროს. სწორედ ეს წინადადება უნდა შეინარჩუნოს ჩანაცვლების პოლიტიკამ.

შეამოწმეთ, შეუძლია თუ არა სამიზნეს ბილიკების გარჩევა

წყაროს მისამართის წესები მუშაობს მხოლოდ მანამ, სანამ ორი ბილიკი სხვადასხვა წყაროს მისამართით მოდის. VPN კარიბჭე, რომელიც სერვერების ქვექსელისკენ ტრაფიკს ნიღბავს, შლის ამ განსხვავებას და შემდეგ 22 პორტთან ყოველი კავშირი კარიბჭიდან მომავალივით ჩანს. შემოწმება ლოკალურია სამიზნეზე და წამს იღებს: ჩამოთვალეთ დამყარებული SSH სესიები და წაიკითხეთ თითოეულის თანამოსაუბრის მისამართი.

როცა ორივე ბილიკი ერთ მისამართში იშლება, გარჩევა უფრო ადრე უნდა მოხდეს: იმ დანიშნულებებით, რომლებიც VPN-ს გაშვების უფლება აქვს, და თვით კარიბჭის ფილტრებით. ასეთ სიტუაციაში სამიზნეზე წესის დამატება ქმნის საზღვრის ილუზიას იმის შეცვლის გარეშე, რაც მოდის.

შეამოწმეთ, რას ინახავს თითოეული ჩანაწერი

სამი განსხვავებული ჟურნალი სამ განსხვავებულ მოვლენას აღწერს და არც ერთი არ ანაცვლებს მეორეს. VPN-ის კავშირის ჩანაწერი აჩვენებს, რომ იდენტობა შევიდა ქსელის არეალში. ბასტიონის გადაცემის ჩანაწერი აჩვენებს TCP არხს, რომელიც მას ტოვებს დანიშნულებისა და პორტისკენ. სამიზნის ავთენტიფიკაციის ჟურნალი აჩვენებს, რომ ანგარიშმა SSH-ით შესვლა მოახდინა. სწორედ ერთად წაკითხვა ქმნის დროის ხაზს; ერთის ცალკე წაკითხვა ქმნის ვარაუდს.

არც ერთი ეს ჩანაწერი არ შეიცავს იმას, რაც მოხდა კლიენტსა და სამიზნეს შორის დაშიფრული სესიის შიგნით. თუ ბრძანების დონეზე გადახედვა მოთხოვნაა, საჭიროა განზრახ განლაგებული ჩაწერის მექანიზმი საკუთარი მონაცემთა დამუშავების წესებით. ამის ნახტომი ჰოსტის ჟურნალებისგან მოლოდინი სწორედ ის გზაა, რომლითაც აუდიტის ხარვეზი დამალული რჩება, სანამ მნიშვნელოვანი გახდება.

შეამოწმეთ, სად სრულდება პოლიტიკა სინამდვილეში

კლიენტის ისეთი პარამეტრი, როგორიც ProxyJump-ია, მოთხოვნაა და არა შეზღუდვა. OpenSSH სიამოვნებით გახსნის პირდაპირ კავშირს, როცა დანიშნულება ხელმისაწვდომია, ამიტომ ლეპტოპების კონფიგურაციის ფაილები განზრახვას აღწერენ, ხოლო შედეგს ქსელური ფარები წყვეტენ. აღსრულება VPN კარიბჭის ნებადართულ დანიშნულებებსა და სამიზნის საკუთარ წვდომის წესებს ეკუთვნის და არც ერთი მათგანი მომხმარებელს რედაქტირება არ შეუძლია. პარალელურად შეამოწმეთ ალტერნატიული ბილიკები: მეორე ინტერფეისი, საჯარო მსმენელი, mesh ფენა ან ძველი საიტთაშორისი გვირაბი თითოეულს შეუძლია აღადგინოს ის მოკლე გზა, რომელიც ახლახან დახურეთ.

მაინც დააკონფიგურირეთ ProxyJump, რადგან ის დამტკიცებულ მარშრუტს აიოლებს და ხელს უშლის რუტინულ სამუშაოს გამონაკლისების შექმნაში. სანამ ენდობით, დაადასტურეთ, რას ხსნის კლიენტი სინამდვილეში.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

გადაამოწმეთ განზრახ პირდაპირი მცდელობით

პოლიტიკა, რომელიც არასდროს გამოცდილა, იმედია. VPN-ზე მიერთებული კლიენტიდან სცადეთ ბილიკი, რომელიც ახლა უნდა უარყოფილ იქნას, შემდეგ სცადეთ დამტკიცებული, და შეინახეთ ორივე შედეგი. უარყოფილი მცდელობა არის მტკიცებულება, რომ ცვლილება ძალაში შევიდა.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

სუფთა შედეგი ჰგავს სამიზნის მისამართზე უარყოფილ ან დროში გასულ პირდაპირ კავშირს, რომელსაც მოჰყვება წარმატებული შესვლა ნახტომ ჰოსტზე და ავთენტიფიკაციის ჩანაწერი სამიზნის მხარეს, სადაც დასახელდება მხარდაჭერილი წყარო. ყველაფერი სხვა ნიშნავს, რომ საზღვარი ჯერ კიდევ ფოროვანია, რაც არ უნდა თქვას დოკუმენტაციამ. ჩაწერეთ თარიღი, შეცვლილი წესი და ორივე შედეგი, შემდეგ მიეცით აღდგენის ბილიკს მფლობელი და ვადა რათა საგანგებო წვდომა ჩუმად არ გახდეს ყოველდღიური მარშრუტი.