rsync VPN аркылуу: 873 демон порту жана SSH режими

873 порту — туннель алып жүргөн ички кызмат, анын ордун басуучу эмес. Демон режимин SSH режиминен ажыратып, андан соң чындыгында колдонгон жолду гана ачыңыз.

Туннель интерфейсинде TCP 873ке уруксат берүү rsyncти OpenVPN-аркылуу өткөрбөйт жана каршы тараптын модулду кабыл алышына алып барбайт. Туннель ички байланышты алып жүрөт, анын протоколу жана багыт эрежелери мурункудай эле калат. Ошондуктан биринчи суроо кайсы портту ачуу эмес, rsync кандай байланыш түзөт. Төмөнкүлөрдүн баары туннель мурунтан көтөрүлгөн жана ички кызмат гана күмөн жаратат деп болжолдойт.

rsync чындыгында кандай байланыш түзөрүн аныктаңыз

Буйруктагы алыскы аргумент көбүнчө брандмауэрдин кандайдыр бир өзгөрүүсүнөн мурун ушул суроого жооп берет. Кош кош чекит же URL схемасы демонду тандайт, ал эми хост атынан кийинки жалгыз кош чекит алыскы кабыкты тандайт. Документациядагы мисалдагыны эмес, чындыгында аткарган аргументти окуңуз.

Ачык алыскы-кабык параметри жоопту кайра өзгөртүшү мүмкүн, анткени ал rsyncке транспорт үчүн кайсы программаны иштетүүнү айтат. Хост бөлүгүн гана эмес, мураска калган ороп-скрипттерди кошуп, бүт буйрук сабын окуңуз.

Remote argumentWhat it opens
rsync://vault.corp.internal/archive/rsync daemon, normally TCP 873
vault.corp.internal::archive/rsync daemon, normally TCP 873
[email protected]:/srv/archive/Remote shell, normally SSH on its configured port

Демон режими: байлоо дареги, модуль жана порт

Демон синтаксисинде жол сегменти дисктеги каталогду эмес, конфигурацияланган модулду атайт. Модулдун сырсөзү байланыш кабыл алынгандан кийин гана текшерилет, жана модуль кошумча окууга-гана же тизмеден жашырылган болушу мүмкүн. Бул тартип катаны окуганда маанилүү, анткени четке кагылган байланыш менен четке кагылган модуль эки башка этаптагы ийгиликсиздик. Эки билдирүүнүн эч бири туннелдин өзү жөнүндө эч нерсе айтпайт.

Өз алдынча демонду конфигурация файлында туннелдин дарегине бекемдөөгө болот, бул аны эч кандай брандмауэр эрежесинсиз коомдук интерфейстен алыс кармайт. Маани демон байланганда болушу керек, ал эми сокет аркылуу иштетилген же inetd башкарган угуучу аны толугу менен этибарга албашы мүмкүн.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Андан соң коомдук атка эмес, жеке дарекке каршы текшериңиз. Коомдук хост аты WAN дарегине чечилип, башка жол менен жүрөт, бир машина экөөнө тең жооп берсе да.

rsync --list-only rsync://10.44.0.1/archive/

Алыскы кабык режими: SSH ташууну алып жүрөт

Жалгыз кош чекит менен rsync алыскы кабык программасын иштетип, анын протоколун ошол канал аркылуу сүйлөйт, ошондуктан жетүүгө боло турган жалгыз кызмат — сервер уккан кайсы гана порттогу SSH. rsync демону эч качан иштебейт, 873 порту маанисиз, жана кирүү чечими SSH эсебинин чечимине айланат. Алыскы жол анда каршы тараптагы кабык чечмелеген чыныгы файлдык системанын жолу. Ошондуктан 873кө багытталган брандмауэр өзгөрүүсү бул режим үчүн такыр эч нерсе кылбайт.

Бул долбоорго керек: ыйгарым укуктуу эсеп жана хост ачкычын текшерүү, жана SSHдин өзүнүн аутентификация саясатын мурастайт. Ташуу ишенимсиз тармактан өтүшү керек болгондо бул көбүнчө жакшыраак тандоо, анткени шифрлөө ушуга курулган протоколго таандык. Сырсөз сураган демон бул ошол эле нерсе эмес.

Өзүңүз тандаган жолду гана ачыңыз

Режим белгиленгенден кийин туннелди алып жүргөн жалгыз интерфейсте жалгыз ички кызматка уруксат бериңиз. Эрежени интерфейс, булак пулу жана багыт дареги боюнча чектеңиз, кийинки демейки-тыюу өзгөрүүсү аны үнсүз кеңейте албашы үчүн. Андан соң эрежелердин тартибин карап чыгыңыз, анткени чынжырда эртерек турган уруксат берүүчү эреже кууш эрежени жөн гана жасалгага айландырат.

Эгер демон VPN дарбазасынын өзүндө эмес, анын артындагы машинада иштесе, дарбазага да жөнөтүү жолу керек, ал эми бутага өз уруксаты жана кайтаруу маршруту керек. Портту дарбазада гана ачуу кабыл алынган, андан соң эч жакка барбаган байланышты жаратат.

Кардардан өндүрүштө колдонмок болгон режим жана багыт менен текшериңиз. Ийгиликтүү тизме угуучуну, маршрутту жана эрежени бирге далилдейт; убакыттын бүтүшү жолду көрсөтөт, ал эми баш тартуу угуучуну.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873

Тектеш макалалар