Lokal SSH behalen, wann den Host eng ausgängleche VPN bedreift

En klengen Linux-Server bedreift eng ausgänglech VPN fir d’Applikatioun, déi hien host, an den Administrateur wëll nach ëmmer iwwer SSH vum Nopeschdësch aus drop komme. Dat ass eng raisonnabel Ufuerderung, an se brauch normalerweis weder Portweiderleitung, nach eng Adresse vum Fournisseur, nach en Lach am Tunnel. Wat se brauch, ass en Administratiounswee, dee bewosst entworf gouf, amplaz vun deem iwwerholl ze ginn, wat de VPN-Client mat der Routingtabell gemaach huet.

D’Schrëtt hei drënner ginn dovun aus, datt den Administrateur um selwechte LAN ass.Remote-Administratioun ass en anert Problem mat enger anerer Äntwert.

Bind SSH un d’Adresse, déi d’Administrateure benotzen

Fänk beim Listener un.ss -ltnp | grep :22 weist, un wat sshd gebonnen ass, an e Listener op 0.0.0.0 akzeptéiert Verbindunge vun all Interface, och vum Tunnel. Sech un d’LAN-Adresse ze bannen ass méi enk a mécht d’Absicht sichtbar:ListenAddress 192.168.10.20 an sshd_config, duerno e Konfiguratiounstest an e Neieslueden. En Tippfeeler an där Adresse ass méi sichtbar wéi e Platzhalter, well sshd sech weigert ze starten, wann d’Adresse net existéiert.

Looss d’Hostschlësselprüfung an d’Authentifikatioun pro Benotzer genee sou, wéi se sinn. „Et ass just dat lokal Netzwierk“ ass keng Authentifikatiounsmethod, an en Administratiounskanal, deen d’Schlësselprüfung iwwerspréngt, well d’Route kuerz ass, ass en Administratiounskanal, dee sech op Mëssbrauch freeët. Eng DHCP-Reservatioun oder eng statesch Adresse mécht den Zil viraussobar, ouni en zur ëffentlecher Identitéit vum Server ze maachen.

Hal d’LAN-Route aus dem Tunnel eraus

En Host mat enger Adresse op 192.168.10.0/24 huet eng verbonnen Route fir dee Prefix, an eng méi spezifesch Route gewënnt d’Standardroute vun der VPN an der selwechter Tabell. Dofir funktionéiert lokal SSH dacks vun eleng weider, wann den Tunnel eropkënnt. Iwwerpréif dat, amplaz et unzehuelen:ip route get 192.168.10.50 nennt d’Interface an d’Quelladresse, déi de Kernel benotze géif, an d’Äntwert sollt dat LAN-Apparat sinn, net den Tunnel. Widderhuel d’Prüfung och vum Administrateur senger Maschinn, well seng eege Tabell entscheet, ob d’Pakete iwwerhaapt ukommen. Zwee Hosten um selwechte Kabel kënnen anescht Meenung sinn, wéi eng Richtung erreechbar ass.

D’Annam brécht op zwou Plazen. Eng policy-baséiert Routingregel ka Verkéier an eng Tabell schécken, deenen hir Standard an den Tunnel weist, ier d’Haapttabell konsultéiert gëtt. En VPN-Client mat enger Spär- oder Kill-Switch-Funktioun kann och Verkéier blockéieren, dat net an den Tunnel erakënnt, egal wat d’Routingtabell seet.

Geroutet Administratiouns-VLANs sinn deen anere Fall. Wann den Administrateur op 192.168.50.0/24 hannert dem lokale Router sëtzt, brauch de Server eng explizit Route fir dee Prefix duerch 192.168.10.1, an déi Route muss eng Neiverbindung iwwerliewe. Hal d’Ausnam spezifesch fir de Administratiounsprefix; eng breet Ausnam fir privat Beräicher zerstéiert den Zweck vum Tunnel.

Maach d’Firewall-Ausnam esou enk wéi d’Regel

Wann den Host eng Firewall bedreift, erlaab SSH just vun der Administratiounsquell an just um LAN-Interface. Eng Regel, déi de Port 22 vun iwwerall erlaabt, ass méi breet wéi d’Ufuerderung an an enger Iwwerpréifung méi schwéier ze justifiéieren. Op engem nftables-Host gehéiert d’Regel an d’Inputkette mat Interface an Quell ugepasst; op engem iptables-Host ass d’Äquivalent e Paar Iwwereneestëmmungen op -i an -s. Kommentéier d’Regel mat der Administrateursgrupp, déi se déngt, sou datt déi nächst Audit net muss roden, firwat de Port 22 op ass.

Préif och de Filter vum VPN-Client selwer. E puer Clienten installéiere Regelen, déi lokale Verkéier vun Design aus fale loossen, an eng korrekt Firewallregel iwwer engem Drop op Clientniveau ännert näischt. Lies d’Konfiguratioun vum Client, ier s du d’Firewall vum Host änderst, well zwee Filteren a Serie produzéieren e Feeler, deen op keen vun deenen zwee gläicht.

Test béid Zouständ

Féier den Test zweemol duerch: eng Kéier mam Tunnel verbonnen an eng Kéier getrennt. Préif a jiddwerem Zoustand de Listener, d’Route an eng tatsächlech SSH-Anmeldung vum Administrateur senger Maschinn. E Wee, deen nëmmen funktionéiert, soulaang den Tunnel erop ass, ass keen lokalen Administratiounswee; et ass en Zoufall.

Start duerno den Tunnel nei, wärend eng SSH-Sessioun op ass. Eng Sessioun, déi iwwerlieft, beweisegt, datt d’Routing stabil ass; eng Sessioun, déi fält, seet dir, datt de Client bei der Neiverbindung Routen oder Filteren nei schreift, wat ee besser virun engem Tëschefall weess wéi währendengem.

Notéier d’Quelladresse, vun där s getest hues, well eng Regel, déi fir 192.168.10.50 geschriwwen ass, still feelt, wann den Administrateur säin Laptop op en anert Subnetz plënnert.

Schreif de Recuperatiounswee an de Runbook

Entscheet elo, wat geschitt, wann déi ausgänglech VPN de lokale Wee brach. Konsolzougrëff, eng zweet Administratiounsadresse oder eng dokumentéiert Prozedur fir de Client ze stoppen sinn all legitim Äntwerten, an jiddwereng dovun ass besser wéi de Problem an deem Moment ze entdecken, wou s dech musst aloggen. Wann de Server op Distanz ass, existéiert de lokale Wee net, an dat richtegt Design ass eng separat genehmegt Fernzougrëffsroute oder eng Bastioun amplaz vun engem blousgestellte ëffentleche Port.

Hal déi zwee Rollen ausernee an der Dokumentatioun: lokal SSH fir den Administrateur, deen an der Géigend ass, an den ausgänglechen Tunnel fir den Verkéier vun der Applikatioun. Wann déi Rollen opschriwwe sinn, huet eng zukünfteg Ännerung un enger vun deenen zwee en offensichtlechen Ort fir gepréift ze ginn, an déi nächst Persoun muss net nees entdecken, firwat e Server mat enger VPN ëmmer nach op senger LAN-Adresse äntwert.