SSH бастиону же түз VPN кирүү: кайсы саясат колдонулат?

VPN колдонуучуларынын секирүү хосту аркылуу өтпөстөн серверлерге жете алышы — тармактык кийим кийген саясат маселеси. Эгер бастион милдеттүү көзөмөлдү аткарса, VPN'ге кошулуу ошого алып барышы керек, аны айланып өтпөшү керек. Эгер секирүү хосту мурун жетүүгө мүмкүн болбогон сегментти гана туташтырып турса, тар түз жол ак ниеттүү алмаштыруу болушу мүмкүн. Төмөнкү текшерүүлөрдү ирети менен аткарыңыз жана биринчи ийгиликсиз болгонунда токтоңуз, анткени ошол жооп калганын чечет.

Бастион чындыгында эмнени көзөмөлдөй турганын текшериңиз

Долбоордук документтеги диаграммадан эмес, азыркы абал тууралуу далилдерден баштаңыз. Максаттын SSH конфигурациясын жана пакет чыпкасын караңыз: кирүү порту 22 бастиондун дарегинен гана кабыл алынса, секирүү хосту — мажбурланган көзөмөл. Эгер ошол эле порт бүт VPN пулунан туташууларды кабыл алса, бастион жөн гана ыңгайлуулук болгон жана мажбурлоо такыр башка жерде жашайт. Билеттер тарыхы адатта экөөнүн кайсынысы мурун болгонун ырастайт.

Тыянакты бастион берген көзөмөлдү атаган бир сүйлөм менен айтыңыз: максатты чектөө, экинчи аутентификация кадамы, сессияны жазуу же окуя учурунда операциялык көрүнүү. Так ошол сүйлөмдү алмаштыруу саясаты сакташы керек.

Максат жолдорду ажырата алабы, текшериңиз

Булак дареги боюнча эрежелер эки жол ар башка булак даректери менен келгенде гана иштейт. Серверлердин ички тармагына трафикти маскалаган VPN дарбазасы ошол айырманы жок кылат, ошондон кийин 22-портко ар бир туташуу дарбазадан келгендей көрүнөт. Текшерүү максаттын өзүндө жергиликтүү жана бир учурду алат: орнотулган SSH сессияларын тизмелеп, ар биринин өнөктөш дарегин окуңуз.

Эки жол тең бир дарекке биригип калганда, айырмалоо эртерек жасалышы керек: VPN жиберүүгө уруксат берилген максаттар жана дарбазанын өз чыпкалары менен. Ушундай кырдаалда максатка эреже кошуу келген нерсени өзгөртпөстөн чек аранын иллюзиясын жаратат.

Ар бир жазуу чындыгында эмнени сактай турганын текшериңиз

Үч башка журнал үч башка окуяны сүрөттөйт жана эч бири экинчисин алмаштырбайт. VPN туташуу жазуусу бир инсандын тармак аймагына киргенин көрсөтөт. Бастиондун өткөрүү жазуусу андан максат жана порт жакка чыккан TCP каналын көрсөтөт. Максаттын аутентификация журналы аккаунттун SSH аркылуу киргенин көрсөтөт. Аларды чогуу окуу гана убакыт сызыгын түзөт; бирөөнү бөлүп окуу божомол түзөт.

Бул жазуулардын эч бири кардар менен максаттын ортосундагы шифрленген сессиянын ичинде эмне болгонун камтыбайт. Эгер команда деңгээлиндеги кароо талап болсо, ага маалыматтарды иштетүүнүн өз эрежелери бар, атайын жайгаштырылган жазуу механизми керек. Муну секирүү хостунун журналдарынан күтүү — аудит боштугунун маанилүү болгонго чейин жашыруун калышынын жолу.

Саясат чындыгында кайда колдонулаарын текшериңиз

ProxyJump сыяктуу кардар параметри — бул өтүнүч, чектөө эмес. Максат жеткиликтүү болгондо OpenSSH түз туташууну ыраазылык менен ачат, ошондуктан ноутбуктардагы конфигурация файлдары ниетти сүрөттөйт, ал эми натыйжаны тармактык калкалар чечет. Мажбурлоо VPN дарбазасынын уруксат берилген максаттарына жана максаттын өз кирүү эрежелерине таандык, колдонуучу экөөнү тең редакциялай албайт. Ошол эле учурда альтернативалуу жолдорду текшериңиз: экинчи интерфейс, ачык угуучу, mesh катмары же эски сайтаралык туннель — ар бири жаңы эле жапкан кыска жолду калыбына келтириши мүмкүн.

Баары бир ProxyJump жөндөңүз, анткени ал бекитилген маршрутту жеңил кылат жана күндөлүк иштин өзгөчөлүктөрдү жаратуусуна жол бербейт. Ишенүүдөн мурун кардар чындыгында эмнени чечерин ырастаңыз.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Атайын түз аракет менен текшериңиз

Эч качан сыналбаган саясат — үмүт. VPN'ге туташкан кардардан азыр баш тартылуучу жолду байкап көрүңүз, анан бекитилген жолду байкап көрүңүз жана эки натыйжаны тең сактаңыз. Баш тартылган аракет — өзгөрүү күчүнө киргенин далилдейт.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Таза натыйжа максаттын дарегине баш тартылган же убактысы өткөн түз туташууга окшош, андан кийин секирүү хостуна ийгиликтүү кирүү жана максаттын тарабында колдоого алынган булакты атаган аутентификация жазуусу келет. Башка нерсе чек ара дагы эле көзөнөк экенин билдирет, документ эмне десе да. Күндү, өзгөртүлгөн эрежени жана эки натыйжаны жазып алыңыз, анан калыбына келтирүү жолуна ээсин жана мөөнөтүн бериңиз өзгөчө кырдаалдагы кирүү үнсүз күндөлүк маршрутка айланбайышы үчүн.