SSH ಬ್ಯಾಸ್ಟಿಯನ್ ಅಥವಾ ನೇರ VPN ಪ್ರವೇಶ: ಯಾವ ನೀತಿ ಅನ್ವಯವಾಗುತ್ತದೆ?

VPN ಬಳಕೆದಾರರು ಜಂಪ್ ಹೋಸ್ಟ್ ದಾಟದೆ ಸರ್ವರ್‌ಗಳನ್ನು ತಲುಪಬಹುದೇ ಎಂಬುದು ಜಾಲಬಂಧದ ಉಡುಪಿನಲ್ಲಿರುವ ನೀತಿ ಪ್ರಶ್ನೆ. ಬ್ಯಾಸ್ಟಿಯನ್ ಕಡ್ಡಾಯ ನಿಯಂತ್ರಣವನ್ನು ನಿರ್ವಹಿಸುತ್ತಿದ್ದರೆ, VPN ಸೇರುವುದು ಅದರ ಕಡೆಗೇ ಕೊಂಡೊಯ್ಯಬೇಕು, ಅದನ್ನು ಸುತ್ತಿಬಳಸಿ ಅಲ್ಲ. ಜಂಪ್ ಹೋಸ್ಟ್ ಹಿಂದೆ ತಲುಪಲಾಗದ ವಿಭಾಗವನ್ನು ಮಾತ್ರ ಸೇತುವೆ ಮಾಡುತ್ತಿದ್ದರೆ, ಸಣ್ಣ ನೇರ ಮಾರ್ಗವು ಪ್ರಾಮಾಣಿಕ ಬದಲಿಯಾಗಬಹುದು. ಕೆಳಗಿನ ಪರಿಶೀಲನೆಗಳನ್ನು ಕ್ರಮವಾಗಿ ಮಾಡಿ ಮತ್ತು ಮೊದಲ ವಿಫಲತೆಯಲ್ಲೇ ನಿಲ್ಲಿಸಿ, ಏಕೆಂದರೆ ಆ ಉತ್ತರವೇ ಉಳಿದದ್ದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ.

ಬ್ಯಾಸ್ಟಿಯನ್ ವಾಸ್ತವವಾಗಿ ಏನನ್ನು ನಿಯಂತ್ರಿಸುತ್ತದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ

ವಿನ್ಯಾಸ ದಾಖಲೆಯ ಚಿತ್ರದಿಂದಲ್ಲ, ಇಂದಿನ ಸ್ಥಿತಿಯ ಸಾಕ್ಷ್ಯದಿಂದ ಪ್ರಾರಂಭಿಸಿ. ಗುರಿಯ SSH ಸಂರಚನೆ ಮತ್ತು ಪ್ಯಾಕೆಟ್ ಫಿಲ್ಟರ್ ನೋಡಿ: ಒಳಬರುವ ಪೋರ್ಟ್ 22 ಅನ್ನು ಬ್ಯಾಸ್ಟಿಯನ್‌ನ ವಿಳಾಸದಿಂದ ಮಾತ್ರ ಸ್ವೀಕರಿಸಿದರೆ, ಜಂಪ್ ಹೋಸ್ಟ್ ಒತ್ತಾಯಿಸಿದ ನಿಯಂತ್ರಣ. ಅದೇ ಪೋರ್ಟ್ ಇಡೀ VPN ಪೂಲ್‌ನಿಂದ ಸಂಪರ್ಕ ಸ್ವೀಕರಿಸಿದರೆ, ಬ್ಯಾಸ್ಟಿಯನ್ ಕೇವಲ ಅನುಕೂಲವಾಗಿತ್ತು ಮತ್ತು ಜಾರಿ ಸಂಪೂರ್ಣ ಬೇರೆಡೆ ಇದೆ. ಟಿಕೆಟ್ ಇತಿಹಾಸ ಸಾಮಾನ್ಯವಾಗಿ ಎರಡರಲ್ಲಿ ಯಾವುದು ಮೊದಲು ಇತ್ತು ಎಂದು ದೃಢೀಕರಿಸುತ್ತದೆ.

ಬ್ಯಾಸ್ಟಿಯನ್ ಒದಗಿಸುವ ನಿಯಂತ್ರಣವನ್ನು ಹೆಸರಿಸುವ ಒಂದು ವಾಕ್ಯದಲ್ಲಿ ಕಂಡುಹಿಡಿದದ್ದನ್ನು ತಿಳಿಸಿ: ಗಮ್ಯಸ್ಥಾನ ಮಿತಿ, ಎರಡನೇ ದೃಢೀಕರಣ ಹಂತ, ಅಧಿವೇಶನ ರೆಕಾರ್ಡಿಂಗ್, ಅಥವಾ ಘಟನೆಯ ಸಮಯದಲ್ಲಿ ಕಾರ್ಯಾಚರಣೆಯ ಗೋಚರತೆ. ಆ ವಾಕ್ಯವೇ ಬದಲಿ ನೀತಿ ಕಾಪಾಡಿಕೊಳ್ಳಬೇಕಾದದ್ದು.

ಗುರಿಯು ಮಾರ್ಗಗಳನ್ನು ಪ್ರತ್ಯೇಕಿಸಬಲ್ಲದೇ ಎಂದು ಪರಿಶೀಲಿಸಿ

ಮೂಲ ವಿಳಾಸದ ನಿಯಮಗಳು ಎರಡೂ ಮಾರ್ಗಗಳು ಬೇರೆ ಬೇರೆ ಮೂಲ ವಿಳಾಸಗಳೊಂದಿಗೆ ಬರುವವರೆಗೆ ಮಾತ್ರ ಕೆಲಸ ಮಾಡುತ್ತವೆ. ಸರ್ವರ್ ಉಪಜಾಲಕ್ಕೆ ಸಂಚಾರವನ್ನು ಮರೆಮಾಡುವ VPN ಗೇಟ್‌ವೇ ಆ ವ್ಯತ್ಯಾಸವನ್ನು ಅಳಿಸುತ್ತದೆ, ಆಗ ಪೋರ್ಟ್ 22ಕ್ಕೆ ಪ್ರತಿಯೊಂದು ಸಂಪರ್ಕವೂ ಗೇಟ್‌ವೇಯಿಂದ ಬಂದಂತೆ ಕಾಣುತ್ತದೆ. ಪರಿಶೀಲನೆ ಗುರಿಯ ಮೇಲೆಯೇ ಸ್ಥಳೀಯ ಮತ್ತು ಒಂದು ಕ್ಷಣ ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ: ಸ್ಥಾಪಿತ SSH ಅಧಿವೇಶನಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡಿ ಮತ್ತು ಪ್ರತಿಯೊಂದರ ಸಹವರ್ತಿ ವಿಳಾಸವನ್ನು ಓದಿ.

ಎರಡೂ ಮಾರ್ಗಗಳು ಒಂದೇ ವಿಳಾಸಕ್ಕೆ ಕುಸಿದಾಗ, ಭೇದವನ್ನು ಹಿಂದೆಯೇ ಮಾಡಬೇಕು: VPN ಯಾವ ಗಮ್ಯಸ್ಥಾನಗಳಿಗೆ ಕಳುಹಿಸಬಹುದು ಮತ್ತು ಗೇಟ್‌ವೇಯ ಸ್ವಂತ ಫಿಲ್ಟರ್‌ಗಳ ಮೂಲಕ. ಅಂತಹ ಸಂದರ್ಭದಲ್ಲಿ ಗುರಿಯ ಮೇಲೆ ನಿಯಮ ಸೇರಿಸುವುದು ಬರುವದನ್ನು ಬದಲಿಸದೆ ಗಡಿಯ ಭ್ರಮೆಯನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ.

ಪ್ರತಿ ದಾಖಲೆ ವಾಸ್ತವವಾಗಿ ಏನನ್ನು ಇಟ್ಟುಕೊಳ್ಳುತ್ತದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ

ಮೂರು ಬೇರೆ ಬೇರೆ ಲಾಗ್‌ಗಳು ಮೂರು ಬೇರೆ ಬೇರೆ ಘಟನೆಗಳನ್ನು ವಿವರಿಸುತ್ತವೆ ಮತ್ತು ಯಾವುದೂ ಇನ್ನೊಂದರ ಬದಲಿಯಲ್ಲ. VPNನ ಸಂಪರ್ಕ ದಾಖಲೆ ಒಂದು ಗುರುತು ಜಾಲ ವ್ಯಾಪ್ತಿಗೆ ಪ್ರವೇಶಿಸಿದ್ದನ್ನು ತೋರಿಸುತ್ತದೆ. ಬ್ಯಾಸ್ಟಿಯನ್‌ನ ಮುಂದುವರಿಸುವಿಕೆ ದಾಖಲೆ ಅದನ್ನು ಬಿಟ್ಟು ಗಮ್ಯಸ್ಥಾನ ಮತ್ತು ಪೋರ್ಟ್‌ನತ್ತ ಹೋಗುವ TCP ಚಾನೆಲ್ ತೋರಿಸುತ್ತದೆ. ಗುರಿಯ ದೃಢೀಕರಣ ಲಾಗ್ ಖಾತೆಯೊಂದು SSH ಮೂಲಕ ಸೈನ್ ಇನ್ ಆದದ್ದನ್ನು ತೋರಿಸುತ್ತದೆ. ಅವುಗಳನ್ನು ಜೊತೆಯಾಗಿ ಓದುವುದೇ ಕಾಲರೇಖೆ ಸೃಷ್ಟಿಸುತ್ತದೆ; ಒಂದನ್ನು ಮಾತ್ರ ಓದುವುದು ಊಹೆ ಸೃಷ್ಟಿಸುತ್ತದೆ.

ಆ ದಾಖಲೆಗಳಲ್ಲಿ ಯಾವುದೂ ಕ್ಲೈಂಟ್ ಮತ್ತು ಗುರಿಯ ನಡುವಿನ ಗೂಢಲಿಪೀಕೃತ ಅಧಿವೇಶನದ ಒಳಗೆ ಏನಾಯಿತು ಎಂಬುದನ್ನು ಹೊಂದಿಲ್ಲ. ಆಜ್ಞಾ ಮಟ್ಟದ ಪರಿಶೀಲನೆ ಅಗತ್ಯವಾದರೆ, ಅದಕ್ಕೆ ತನ್ನದೇ ಆದ ದತ್ತಾಂಶ ನಿರ್ವಹಣಾ ನಿಯಮಗಳಿರುವ, ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ನಿಯೋಜಿಸಿದ ರೆಕಾರ್ಡಿಂಗ್ ವ್ಯವಸ್ಥೆ ಬೇಕು. ಜಂಪ್-ಹೋಸ್ಟ್ ಲಾಗ್‌ಗಳಿಂದ ಅದನ್ನು ನಿರೀಕ್ಷಿಸುವುದೇ ಆಡಿಟ್ ಕೊರತೆ ಮುಖ್ಯವಾಗುವವರೆಗೆ ಗುಪ್ತವಾಗಿ ಉಳಿಯುವ ದಾರಿ.

ನೀತಿ ವಾಸ್ತವವಾಗಿ ಎಲ್ಲಿ ಜಾರಿಯಾಗುತ್ತದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ

ProxyJump ನಂತಹ ಕ್ಲೈಂಟ್ ಸೆಟ್ಟಿಂಗ್ ಒಂದು ಕೋರಿಕೆ, ನಿರ್ಬಂಧವಲ್ಲ. ಗಮ್ಯಸ್ಥಾನ ತಲುಪಬಹುದಾದಾಗ OpenSSH ಸಂತೋಷದಿಂದ ನೇರ ಸಂಪರ್ಕ ತೆರೆಯುತ್ತದೆ, ಆದ್ದರಿಂದ ಲ್ಯಾಪ್‌ಟಾಪ್‌ಗಳ ಸಂರಚನಾ ಫೈಲ್‌ಗಳು ಉದ್ದೇಶವನ್ನು ವಿವರಿಸುತ್ತವೆ, ಫಲಿತಾಂಶವನ್ನು ಫೈರ್‌ವಾಲ್‌ಗಳು ನಿರ್ಧರಿಸುತ್ತವೆ. ಜಾರಿ VPN ಗೇಟ್‌ವೇಯ ಅನುಮತಿಸಿದ ಗಮ್ಯಸ್ಥಾನಗಳಿಗೆ ಮತ್ತು ಗುರಿಯ ಸ್ವಂತ ಪ್ರವೇಶ ನಿಯಮಗಳಿಗೆ ಸೇರಿದ್ದು, ಬಳಕೆದಾರರು ಎರಡನ್ನೂ ಸಂಪಾದಿಸಲಾರರು. ಅದೇ ಸಮಯದಲ್ಲಿ ಪರ್ಯಾಯ ಮಾರ್ಗಗಳನ್ನು ಪರಿಶೀಲಿಸಿ: ಎರಡನೇ ಇಂಟರ್ಫೇಸ್, ಸಾರ್ವಜನಿಕ ಶ್ರೋತೃ, ಮೆಶ್ ಪದರ ಅಥವಾ ಹಳೆಯ ಸೈಟ್-ಟು-ಸೈಟ್ ಸುರಂಗ — ಪ್ರತಿಯೊಂದೂ ನೀವು ಈಗಷ್ಟೇ ಮುಚ್ಚಿದ ಸಣ್ಣದಾರಿಯನ್ನು ಮರುಸ್ಥಾಪಿಸಬಹುದು.

ಹಾಗಿದ್ದರೂ ProxyJump ಅನ್ನು ಸಂರಚಿಸಿ, ಏಕೆಂದರೆ ಅದು ಅನುಮೋದಿತ ಮಾರ್ಗವನ್ನು ಸುಲಭವನ್ನಾಗಿಸುತ್ತದೆ ಮತ್ತು ದಿನನಿತ್ಯದ ಕೆಲಸ ಅಪವಾದಗಳನ್ನು ಸೃಷ್ಟಿಸದಂತೆ ತಡೆಯುತ್ತದೆ. ನಂಬುವ ಮೊದಲು ಕ್ಲೈಂಟ್ ವಾಸ್ತವವಾಗಿ ಏನನ್ನು ಬಿಡಿಸುತ್ತದೆ ಎಂದು ದೃಢೀಕರಿಸಿ.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

ಉದ್ದೇಶಪೂರ್ವಕ ನೇರ ಪ್ರಯತ್ನದಿಂದ ಪರಿಶೀಲಿಸಿ

ಎಂದೂ ಪರೀಕ್ಷಿಸದ ನೀತಿ ಒಂದು ನಿರೀಕ್ಷೆ. VPNಗೆ ಸಂಪರ್ಕಿಸಿದ ಕ್ಲೈಂಟ್‌ನಿಂದ, ಈಗ ನಿರಾಕರಿಸಬೇಕಾದ ಮಾರ್ಗವನ್ನು ಪ್ರಯತ್ನಿಸಿ, ನಂತರ ಅನುಮೋದಿತ ಮಾರ್ಗವನ್ನು ಪ್ರಯತ್ನಿಸಿ, ಎರಡೂ ಫಲಿತಾಂಶಗಳನ್ನು ಇಟ್ಟುಕೊಳ್ಳಿ. ನಿರಾಕರಿಸಲಾದ ಪ್ರಯತ್ನವೇ ಬದಲಾವಣೆ ಜಾರಿಗೆ ಬಂದ ಸಾಕ್ಷ್ಯ.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

ಸ್ವಚ್ಛ ಫಲಿತಾಂಶವು ಗುರಿ ವಿಳಾಸಕ್ಕೆ ನಿರಾಕರಿಸಲಾದ ಅಥವಾ ಸಮಯ ಮೀರಿದ ನೇರ ಸಂಪರ್ಕದಂತೆ ಕಾಣುತ್ತದೆ, ನಂತರ ಜಂಪ್ ಹೋಸ್ಟ್‌ಗೆ ಯಶಸ್ವಿ ಸೈನ್-ಇನ್ ಮತ್ತು ಗುರಿಯ ಬದಿಯಲ್ಲಿ ಬೆಂಬಲಿತ ಮೂಲವನ್ನು ಹೆಸರಿಸುವ ದೃಢೀಕರಣ ನಮೂದು. ಬೇರೆ ಯಾವುದೇ ಇದ್ದರೆ ಗಡಿ ಇನ್ನೂ ರಂಧ್ರಮಯವಾಗಿದೆ ಎಂದರ್ಥ, ದಾಖಲೆ ಏನೇ ಹೇಳಲಿ. ದಿನಾಂಕ, ಬದಲಾದ ನಿಯಮ ಮತ್ತು ಎರಡೂ ಫಲಿತಾಂಶಗಳನ್ನು ದಾಖಲಿಸಿ, ನಂತರ ಮರುಪ್ರಾಪ್ತಿ ಮಾರ್ಗಕ್ಕೆ ಒಬ್ಬ ಮಾಲೀಕ ಮತ್ತು ಒಂದು ಮುಕ್ತಾಯ ದಿನಾಂಕ ನೀಡಿ ತುರ್ತು ಪ್ರವೇಶ ಮೌನವಾಗಿ ದಿನನಿತ್ಯದ ಮಾರ್ಗವಾಗದಂತೆ.