SSH бастионы немесе тікелей VPN рұқсаты: қай саясат қолданылады?

VPN пайдаланушыларының секіру хостын айналып өтпей серверлерге жете алуы — желілік киім киген саясат мәселесі. Егер бастион міндетті бақылауды орындайтын болса, VPN-ге қосылу сол бақылауға әкелуі керек, оны айналып өтпеуі керек. Егер секіру хосты бұрын қолжетімсіз болған сегментті жай ғана жалғап тұрса, тар тікелей жол адал балама бола алады. Төмендегі тексерулерді ретімен орындап, бірінші сәтсіз тексеруде тоқтаңыз, себебі сол жауап қалғанын шешеді.

Бастион шын мәнінде нені бақылайтынын тексеріңіз

Жобалау құжатындағы диаграммадан емес, бүгінгі жағдай туралы дәлелдерден бастаңыз. Мақсаттың SSH конфигурациясы мен пакет сүзгісін қараңыз: кіріс 22 порты тек бастион мекенжайынан қабылданса, секіру хосты — мәжбүрленген бақылау. Егер сол порт бүкіл VPN пулынан қосылымдарды қабылдаса, бастион жайлылық қана болған және мәжбүрлеу мүлде басқа жерде тұрады. Билеттер тарихы әдетте екеуінің қайсысы бұрын болғанын растайды.

Түйінді бастион беретін бақылауды атайтын бір сөйлеммен тұжырымдаңыз: мақсатты шектеу, екінші аутентификация қадамы, сессияны жазу немесе оқиға кезіндегі операциялық көріну. Дәл осы сөйлемді алмастыру саясаты сақтауы тиіс.

Мақсат жолдарды ажырата ала ма, соны тексеріңіз

Бастапқы мекенжай ережелері екі жол әртүрлі бастапқы мекенжайлармен келгенде ғана жұмыс істейді. Серверлер ішкі желісіне трафикті маскаралайтын VPN қақпасы сол айырмашылықты жояды, содан кейін 22 портқа әрбір қосылым қақпадан келген сияқты көрінеді. Тексеру мақсаттың өзінде жүргізіледі және бір сәт алады: орнатылған SSH сессияларын тізіп, әрқайсысының серіктес мекенжайын оқыңыз.

Екі жол да бір мекенжайға біріккенде, айыру ертерек жасалуы керек: VPN жіберуге рұқсат етілген мақсаттармен және қақпаның өз сүзгілерімен. Мұндай жағдайда мақсатқа ереже қосу келетін нәрсені өзгертпей шекара иллюзиясын жасайды.

Әрбір жазба шын мәнінде нені сақтайтынын тексеріңіз

Үш түрлі журнал үш түрлі оқиғаны сипаттайды және ешқайсысы екіншісін алмастырмайды. VPN қосылымының жазбасы бір тұлғаның желі аясына кіргенін көрсетеді. Бастионның жіберу жазбасы одан мақсат пен портқа қарай шығатын TCP арнасын көрсетеді. Мақсаттың аутентификация журналы шоттың SSH арқылы кіргенін көрсетеді. Оларды бірге оқу ғана уақыт сызығын жасайды; біреуін жеке оқу болжам жасайды.

Бұл жазбалардың ешқайсысы клиент пен мақсат арасындағы шифрланған сессияның ішінде не болғанын қамтымайды. Егер команда деңгейіндегі шолу талап болса, оған деректермен жұмыс істеудің өз ережелері бар, әдейі орналастырылған жазу механизмі қажет. Мұны секіру хостының журналдарынан күту — аудит олқылығының маңызды болғанша жасырын қалу тәсілі.

Саясат шын мәнінде қай жерде қолданылатынын тексеріңіз

ProxyJump сияқты клиент параметрі — бұл өтініш, шектеу емес. Мақсат қолжетімді болса, OpenSSH тікелей қосылымды қуана ашады, сондықтан ноутбуктердегі конфигурация файлдары ниетті сипаттайды, ал нәтижені желіаралық қалқандар шешеді. Мәжбүрлеу VPN қақпасының рұқсат етілген мақсаттарына және мақсаттың өз рұқсат ережелеріне тиесілі, пайдаланушы екеуін де өңдей алмайды. Сонымен қатар балама жолдарды тексеріңіз: екінші интерфейс, ашық тыңдаушы, mesh қабаты немесе ескі сайтаралық туннель — әрқайсысы жаңа ғана жапқан қысқа жолды қалпына келтіре алады.

Бәрібір ProxyJump параметрін конфигурациялаңыз, себебі ол мақұлданған маршрутты жеңіл етеді және күнделікті жұмыстың ерекшеліктер жасауына жол бермейді. Сенуге дейін клиент шын мәнінде нені шешетінін растаңыз.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Әдейі тікелей әрекетпен растаңыз

Ешқашан сыналмаған саясат — үміт. VPN-ге қосылған клиенттен қазір бас тартылуы тиіс жолды байқап көріңіз, содан кейін мақұлданған жолды байқап көріңіз және екі нәтижені де сақтаңыз. Бас тартылған әрекет — өзгеріс күшіне енгенінің дәлелі.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Таза нәтиже мақсат мекенжайына бас тартылған немесе уақыты өткен тікелей қосылымға ұқсайды, одан кейін секіру хостына сәтті кіру және мақсат жағында қолдау көрсетілген көзді атайтын аутентификация жазбасы келеді. Кез келген басқа нәрсе шекара әлі де кеуекті екенін білдіреді, құжаттама не десе де. Күнді, өзгертілген ережені және екі нәтижені жазып алыңыз, содан кейін қалпына келтіру жолына иесін және мерзімін беріңіз төтенше рұқсат үнсіз күнделікті маршрутқа айналмас үшін.