VPN арқылы қашықтағы SSH: туннель не істемейді
VPN SSH серверін қолжетімді етеді, одан артық емес. Үш шарт оның сәйкестігін анықтайды, ал сәтсіздік кезеңі қай қабаттың кінәлі екенін көрсетеді.
VPN SSH серверіне жеке жол береді және 22 порттағы ашық тыңдаушы қажеттілігін алып тастайды. Ол хостты аутентификацияламайды, пайдаланушыны авторландырмайды және қай тіркелгілер кіре алатынын шешпейді. Бұл SSH-дің жұмысы болып қалады. VPN серверге жетудің дұрыс жолы ма, бұл үш шартқа байланысты, ал туннель — мүмкін жауаптардың бірі ғана.
Туннель нені өзгертеді және SSH әлі нені шешеді
Туннель қолжетімділікті өзгертеді: қай мекенжайларға жетуге болады және қайдан. Ол TCP қосылымы келгеннен кейін болатынды өзгертпейді, онда сервер хост кілтін ұсынып, пайдаланушының жеке басын сұрайды.
Екі қабатты санаңызда да, құжаттамаңызда да бөлек ұстаңыз. VPN-ге кіру кімнің желіні пайдалана алатынын дәлелдейді. Ол мақсатта қандай тіркелгілер бар екені туралы ештеңе айтпайды және әрбір қолжетімді машинаға кіруге рұқсат емес.
Сәтсіздік режимдері де бөлек, және дәл сол бөлу оқиға кезінде пайдалы етеді.
Қатынау моделін анықтайтын үш шарт
Біріншіден, сервер желіңізден тыс адамдарға қолжетімді болуы керек пе? Егер жоқ болса, жеке жол плюс бастион немесе тор кішірек дизайн. Екіншіден, клиент популяциясы VPN клиентін шынымен іске қоса ала ма, соның ішінде шектеулері бар басқарылатын құрылғылардағылар?
Үшіншіден, сізге қызмет бойынша бақылау керек пе, әлде пайдаланушы бойынша бақылау керек пе? VPN желілік қатынау береді; SSH тіркелгіге қатынау береді. Егер талап мердігердің бір хостқа жетуі және басқа ешнәрсе еместігі болса, бұл авторландыру талабы және тек туннель оны білдіре алмайды.
Осы үшеуіне жауап беріңіз, модель өзі таңдалады. Оларды өткізіп жіберсеңіз, клиентті енгізуден құтылу үшін SSH-ді ашық түрде әшкерелейсіз.
SSH-ді кінәламас бұрын жеке жолды растаңыз
Бекітілген VPN-ге қосылыңыз және мақсаттың құжатталған жеке атауын немесе мекенжайын пайдаланыңыз. Содан кейін таңдалған маршрутты, шлюз рұқсатын және клиентке қайту жолын тексеріңіз. Дұрыс шешілетін атау мекенжайдың көзделген туннельді алатынының дәлелі емес, өйткені қабаттасатын жергілікті және қашықтағы префикстер сұрауды мүлдем басқа жерге жібере алады. Бұл айырмашылық runbook-қа жазуға тұрарлық.
Егер қосылым ешқашан келмесе, сервер күткен интерфейсте тыңдап тұрғанын және оның хост фаерволы шын мәнінде көретін көзді рұқсат ететінін растаңыз. Шлюз NAT-ы бұл көзді қайта жаза алады, сондықтан клиенттің туннель мекенжайы үшін жазылған рұқсат тізімі ешқашан сәйкес келмеуі мүмкін.
Бұл сәйкессіздік VPN арқылы ең көп тараған өз-өзінен туындаған SSH сәтсіздігі.
Біріктірілген қатені емес, сәтсіздік кезеңін оқыңыз
Үш кезең үш түрлі хабарлама шығарады, және олардың тек біреуі тіркелгі деректері туралы.
| Stage | What you see | What it points at |
|---|---|---|
| Before the connection | Timeout, no route | Tunnel, route or gateway permission |
| Connection refused | Immediate reset | Nothing listening, or a host firewall rejecting |
| Authentication | Permission denied after a prompt | User, key or server policy |
VPN және SSH тіркелгі деректерін бірге қалпына келтірудің орнына нақты қатені және сервердің өз журналын пайдаланыңыз. Екеуін де қалпына келтіру — бес минуттық диагностиканы екі күндік сәйкестендіру оқиғасына айналдыратын жол.
Толық шығыс қай кезеңге жеткеніңізді көрсетеді:
ssh -vv [email protected]Хост кілттері мен авторландыруды бүлінбей сақтаңыз
Хост кілтін көзделген сенімді процесс арқылы тексеріңіз, әсіресе сервер ауыстырылғаннан кейін. Күтпеген өзгерген кілт туралы ескерту — VPN қосылды деген желеумен елемеуге болмайтын жалғыз хабарлама, өйткені жеке туннель межелі жерді сіз ойлаған машина етпейді. Саусақ ізін қосылымға тәуелсіз сенетін көзбен салыстырыңыз.
Сервер жағында тіркелгінің авторландырылғанын және сіз конфигурациялаған аутентификация әдісінің ұсынылып отырғанын растаңыз. Бар болғанымен еленбейтін кілт әдетте желі емес, рұқсаттар немесе конфигурация мәселесі.
Қызметке қатынауды қажетті сәйкестіктермен шектеңіз және желілік өзгерістер үшін авторландырылған қалпына келтіру жолын сақтаңыз.