rsync VPN арқылы: 873 демон порты және SSH режимі

Туннель интерфейсінде TCP 873-ке рұқсат беру rsync-ті OpenVPN-тен өткізбейді және қарсы жақтың модульді қабылдауына әкелмейді. Туннель ішкі қосылысты тасымалдайды, оның протоколы мен межелі нүкте ережелері бұрынғыша қалады. Сондықтан бірінші сұрақ қай портты ашу емес, rsync қандай қосылым жасайтыны. Төмендегінің бәрі туннель әлдеқашан көтерілген және тек ішкі қызмет күмән тудырады деп болжайды.

rsync шын мәнінде қандай қосылым жасайтынын анықтаңыз

Командадағы қашықтағы аргумент әдетте брандмауэрдің кез келген өзгерісінен бұрын осы сұраққа жауап береді. Қос қос нүкте немесе URL схемасы демонды таңдайды, ал хост атынан кейінгі жалғыз қос нүкте қашықтағы қабықшаны таңдайды. Құжаттамадағы мысалдағыны емес, шын мәнінде іске қосып жатқан аргументті оқыңыз.

Айқын қашықтағы-қабықша опциясы жауапты қайта өзгертуі мүмкін, өйткені ол rsync-ке тасымал үшін қай бағдарламаны іске қосу керегін айтады. Хост бөлігін ғана емес, мұраға қалған орауыш скрипттерді қоса алғанда, бүкіл команда жолын оқыңыз.

Демон режимі: байланыстыру мекенжайы, модуль және порт

Демон синтаксисінде жол сегменті дискідегі каталогты емес, конфигурацияланған модульді атайды. Модуль құпиясөзі қосылым қабылданғаннан кейін ғана тексеріледі және модуль қосымша тек оқуға арналған немесе тізімнен жасырылған болуы мүмкін. Бұл реттілік қатені оқығанда маңызды, өйткені қабылданбаған қосылым мен қабылданбаған модуль — екі түрлі кезеңдегі сәтсіздік. Екі хабарламаның ешқайсысы туннельдің өзі туралы ештеңе айтпайды.

Дербес демонды оның конфигурация файлында туннель мекенжайына бекітуге болады, бұл оны ешбір брандмауэр ережесінсіз жалпыға ортақ интерфейстен алыс ұстайды. Мән демон байланысқан кезде болуы керек, ал сокет арқылы іске қосылатын немесе inetd басқаратын тыңдаушы оны мүлдем елемеуі мүмкін.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Содан кейін жалпыға ортақ атауға емес, жеке мекенжайға қарсы сынаңыз. Жалпыға ортақ хост атауы WAN мекенжайына шешіліп, басқа жолмен жүреді, тіпті бір машина екеуіне де жауап берсе де.

rsync --list-only rsync://10.44.0.1/archive/

Қашықтағы қабықша режимі: SSH тасымалды алып жүреді

Жалғыз қос нүктемен rsync қашықтағы қабықша бағдарламасын іске қосып, оның протоколын осы арна арқылы сөйлейді, сондықтан қолжетімді жалғыз қызмет — сервер тыңдайтын кез келген порттағы SSH. rsync демоны ешқашан істемейді, 873 порты маңызсыз, ал қатынау шешімі SSH тіркелгісінің шешіміне айналады. Қашықтағы жол сонда қарсы жақтағы қабықша түсіндіретін нақты файлдық жүйе жолы. Сондықтан 873-ке бағытталған брандмауэр өзгерісі бұл режим үшін мүлдем ештеңе істемейді.

Бұл дизайнға қажет: рұқсат етілген тіркелгі мен хост кілтін тексеру, және SSH-тің өзіндік аутентификация саясатын мұра етеді. Тасымал сенімсіз желіден өтуі керек болғанда бұл жиі жақсырақ таңдау, өйткені шифрлау осы үшін жасалған протоколға тиесілі. Құпиясөз сұрайтын демон бұл бір нәрсе емес.

Тек өзіңіз таңдаған жолды ашыңыз

Режим белгіленгеннен кейін туннельді алып жүретін жалғыз интерфейсте жалғыз ішкі қызметке рұқсат беріңіз. Ережені интерфейс, бастау пулы және межелі мекенжай бойынша шектеңіз, сонда кейінгі әдепкі-тыйым өзгерісі оны үнсіз кеңейте алмайды. Содан кейін ережелер ретін қарап шығыңыз, өйткені тізбекте ертерек тұрған рұқсат етуші ереже тар ережені тек әшекейге айналдырады.

Егер демон VPN қақпасының өзінде емес, оның артындағы машинада істесе, қақпаға да жөнелту жолы қажет, ал мақсатқа өз рұқсаты мен қайтару маршруты керек. Портты тек қақпада ашу қабылданатын, содан кейін ешқайда бармайтын қосылым жасайды.

Клиенттен өндірісте қолданбақ болған режим мен межелі мекенжаймен тексеріңіз. Сәтті тізім тыңдаушыны, маршрутты және ережені бірге дәлелдейді; уақыт бітуі жолды нұсқайды, ал бас тарту тыңдаушыны.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873