Эмне үчүн башат порт эрежеси SSH жолдоруңуздун бирин бузат

Бир хосттогу эки башкаруу кирүүсү, бир кызмат порту жана экөөнө тең жардам берүүгө тийиш болгон саясат эрежеси. Эреже башат порт 22ге дал келет, издөөнү WANдын демейкисин гана билген таблицага жиберет, жана VPN кирүүсү жаңы кирүүлөргө жооп берүүнү токтотот, ал эми түз кирүү иштеп турат. Селекторду туура окугандан кийин бул жерде сырдуу эч нерсе жок. Башат порт кызматты аныктайт, байланыш келген жолду эмес.

Эки кирүү, бир кызмат порту

Хосттун LAN тарабындагы дареги жана VPN дареги бар, жана sshd экөөндө тең угат. Ошондуктан түз сессия менен туннелдик сессия кызмат портун бөлүшөт жана байланышты кайсы жергиликтүү дарек кабыл алары менен гана айырмаланат.

Бул айырмачылык жооп жолун тандоого жетиштүү, жана портко негизделген эреже таштап кеткен айырмачылык дал ушул. Эки сессия тең башат порту 22 болгон жоопторду чыгарат, ошондуктан ошол портко дал келген эреже аларды бөлө албайт. Ал эки издөөнү тең бир таблицага жиберет, жана алардын бири туура келбеген жооп алат. Оңдоо — чын эле айырмаланган атрибутка дал келтирүү.

Ар бир кирүүгө өз портун берүү да иштейт, жана муну талап катары кароо SSHдын касиети эмес, дизайн тандоосу.

Эрежени окуңуз, анан таблицаны

Саясат эрежеси иреттелген селектор, жана пайдалуу жооп кайтарган биринчи эреже издөөнү бүтүрөт. Тизмени ирети менен окуп, кайсы эреже жеңе аларын белгилеңиз.

Анан ошол эреже көрсөткөн таблицаны окуңуз, анткени ийгиликтүү чечилген эреже пайдалуу чечилген эреже боло бербейт. Бир гана демейки маршруту бар таблица VPNден келген жоопту WAN интерфейсинен сыртка жиберет. Кийинки таблицадагы такыраак маршрут эч качан каралбайт, ошондуктан экинчи таблицаны кошуу көп учурда эч нерсени өзгөртпөйт. Текшерилиши керек нерсе — тандалган таблица.

ip -4 rule show
ip route show table 100
ip route show table main

Бул эки чыгарылыш бирге жыйынтыкты түшүндүрөт; алардын ар бири өз алдынча туура эмес тыянакка чакырат.

Эрежени көздөгөн агым менен чектеңиз

Эки кирүүнү бөлүүчү атрибут — жергиликтүү башат дареги. Ошол дарекке дал келген эреже туннелдик сессияларды гана жеке таблицага жиберет жана түз сессияларды негизги таблицада калтырат.

Бул эреже жеке маршрутту жана ошол ички тармактын кайтуу жолун камтыган таблица менен жупташуусу керек. Экөөнү тең хосттогу ар бир кызматка эмес, башкаруу трафигине чектеңиз. Ошол даректен бардык трафикти кармаган эреже хост андан жиберген калган нерселердин баарын да багыттайт. Бул жерде тар нерсе акылдууну жеңет, анткени кийинки адам аны окушу керек.

sudo ip rule add from 10.90.0.1 lookup 100 priority 100
sudo ip route add 10.90.0.0/24 dev wg0 table 100
ip route get 10.90.5.20 from 10.90.0.1

Эгер эки кирүү бир жергиликтүү дарекке которулса, бул айырма жоголот жана дизайнга анын ордуна байланышты сезген абал керек.

Угуучуну, уруксатты жана жооп тандоону өзүнчө кармаңыз

Сессия иштеши үчүн үч өзүнчө нерсе туура болушу керек: дарек бар, кызмат аны угат жана жооп кайтуу жолун табат. Маршрут өзгөртүү үчүнчүсүн гана оңдойт.

Угуучунун конфигурациясы — өз файлы жана өз кайра жүктөлүшү, жана бир нече угуу дареги кадимки нерсе. Аутентификация дагы үчүнчү чечим, жана маршруттоо өзгөчөлүгү эч кимге уруксат бербейт. Хост ачкычын текшерүүнү, эсеп аутентификациясын жана башат чектөөлөрүн эки кирүүдө тең кармаңыз, жана бир башкаруу жолу иштеши үчүн туннелдин башка контролдорун алсыратуу каалоосуна каршы туруңуз.

Өзгөртүп жаткан жолго көз каранды болбогон калыбына келтирүү каналын кармаңыз, анткени бул жердеги ката оңдоонун өзүн жабат.

Муну эски эмес, жаңы сессия менен далилдеңиз

Орнотулган терминал эч нерсени далилдебейт, анткени ал өзгөртүүгө чейин кабыл алынган. Ар бир көздөлгөн кирүү аркылуу жаңы сессия ачыңыз.

ss -ltnp | grep ':22'
sudo sshd -T | grep -i listenaddress
ssh -v [email protected] true
sudo journalctl -u ssh -n 30

Анан VPN кайра туташуусун кайталап, кайра аракет кылыңыз, анткени кайра туташууга чыдаган маршрут кайра туташуу тазалаган таблицага кошулган маршрут менен бирдей эмес. Четке кагылган булактарды уруксат берилгендерден өзүнчө байкаңыз, бөгөттөлгөн аракет иштеп жаткан сессиянын артында жашырынбашы үчүн. Жыйынтыктын жанында жергиликтүү даректи, эрежени жана таблицаны сактаңыз. Эгер анын ордуна портторду бөлсөңүз, муну SSH чектөөсү эмес, операциялык чечим катары жазыңыз.