Remote-SSH iwwer eng VPN: wat den Tunnel net mécht
Eng VPN mécht en SSH-Server erreechbar an net méi. Dräi Bedingunge bestëmmen, ob et passt, an d'Feelerstuf weist, wéi eng Schicht schold ass.
Eng VPN gëtt engem SSH-Server e private Wee a beseitigt d'Noutwennegkeet vun engem ëffentleche Lauschterer op Port 22. Si authentifizéiert den Host net, autoriséiert de Benotzer net a bestëmmt net, wéi eng Konten sech kënnen aloggen. Dat bleift dem SSH seng Aarbecht. Ob eng VPN de richtege Wee ass fir de Server z'erreechen, hänkt vun dräi Bedingunge of, an den Tunnel ass just eng vun de méiglechen Äntwerten.
Wat den Tunnel ännert a wat SSH nach ëmmer entscheet
Den Tunnel ännert d'Erreechbarkeet: wéi eng Adressen erreechbar sinn, a vu wou. Et ännert net, wat geschitt nodeems d'TCP-Verbindung ukomm ass, wou de Server e Hostschlëssel weist a eng Benotzeridentitéit freet.
Halt déi zwou Schichten auserneen an dengem Kapp an an denger Dokumentatioun. Eng VPN-Alogge beweist, wien d'Netzwierk benotze kann. Si seet näischt iwwer d'Konten, déi um Zil existéieren, an et ass keng Erlaabnes, sech op all erreechbaren Maschinn anzeloggen.
D'Feelermodi sinn och getrennt, an dat ass wat d'Trennung während engem Tëschefall nëtzlech mécht.
Dräi Bedingunge, déi de Zougrëffsmodell bestëmmen
Éischtens, muss de Server fir Leit baussent dengem Netzwierk erreechbar sinn? Wann net, ass e private Wee plus eng Bastioun oder en Mesh dee klengere Design. Zweetens, kann d'Clientpopulatioun den VPN-Client tatsächlech ausféieren, dorënner déi op verwalteten Apparater mat Restriktiounen?
Drëttens, brauchs du Kontroll pro Service oder Kontroll pro Benotzer? Eng VPN gëtt Netzwierkerreechbarkeet; SSH gëtt Kontozougrëff. Wann d'Fuerderung ass, datt en Entreprener ee Host erreecht an näischt anescht, ass dat eng Autorisatiounsfuerderung an den Tunnel eleng kann et net ausdrécken.
Äntwert déi dräi an de Modell wielt sech selwer. Iwwersprang se an du kënns dozou, SSH ëffentlech ze exponéieren fir den Client-Rollout ze vermeiden.
Bestäteg de private Wee ier s du SSH beschëllegs
Verbind d'guttgeheescht VPN a benotz den dokumentéierte privaten Numm oder d'Adress vum Zil. Iwwerpréif dann déi gewielten Route, d'Erlaabnes vum Gateway an de Wee zréck zum Client. En Numm, dee korrekt opgeléist gëtt, ass kee Beweis, datt d'Adress den ugeduechten Tunnel hëlt, well iwwerlappend lokal a wäit Prefixer kënnen d'Ufro ganz anerwäerts schécken. Dee Ënnerscheed ass et wäert, an de Runbook ze schreiwen.
Wann d'Verbindung ni ukommt, bestäteg datt de Server um Interface lauschtert, deen du erwaarts an datt seng Host-Firewall d'Quell erlaabt, déi en tatsächlech gesäit. En Gateway-NAT kann déi Quell ëmschreiwen, dofir kann eng Erlaabnislëscht, déi fir d'Tunneladress vum Client geschriwwe gouf, ni passen.
Dee Mëssverhältnis ass dee heefegsten selbstverursaachten SSH-Feeler iwwer eng VPN.
Lies d'Feelerstuf, net de kombinéierte Feeler
Dräi Stufe produzéieren dräi verschidde Messagen, an nëmmen een dovun ass iwwer Umeldungsinformatiounen.
| Stage | What you see | What it points at |
|---|---|---|
| Before the connection | Timeout, no route | Tunnel, route or gateway permission |
| Connection refused | Immediate reset | Nothing listening, or a host firewall rejecting |
| Authentication | Permission denied after a prompt | User, key or server policy |
Benotz de geneeë Feeler an de Log vum Server selwer, amplaz VPN- an SSH-Umeldungsinformatiounen zesummen zeréckzesetzen. Béides zeréckzesetzen ass de Wee, wéi eng fënnefminutteg Diagnos zu engem zweedege Identitéits-Tëschefall gëtt.
Déi ausféierlech Ausgab weist, wéi eng Stuf du erreecht hues:
ssh -vv [email protected]Halt Hostschlësselen an Autorisatioun intakt
Validéier den Hostschlëssel iwwer dee virgesinnene vertrauenswürdege Prozess, besonnesch no engem Serveraustausch. Eng onerwaart Ännerung-vum-Schlëssel-Warnung ass déi eenzeg Noriicht, déi du net dierfs oftun just well d'VPN verbonnen ass, well en private Tunnel d'Zil net zu der Maschinn mécht, déi du mengs. Iwwerpréif de Fangerofdrock géint eng Quell, déi du onofhängeg vun der Verbindung vertrausch.
Op der Serversäit bestätegs du, datt d'Konto autoriséiert ass an datt d'Authentifikatiounsmethod, déi du konfiguréiert hues, déi ugebueden ass. En Schlëssel, deen do ass awer ignoréiert gëtt, ass normalerweis e Permissiouns- oder Konfiguratiounsproblem an net e Netzwierkproblem.
Limitéier de Servicezougrëff op déi erfuerderlech Identitéiten a behal en autoriséierte Erhuelungswee fir Netzwierkännerungen.