rsync iwwer de VPN: Daemon-Port 873 géint SSH-Modus

Port 873 ass en banneschte Service, den den Tunnel dréit, an net säin Ersatz. Ënnerscheet den Daemon-Modus vum SSH-Modus an da maacht nëmmen dee Wee op, deen Dir tatsächlech benotzt.

TCP 873 op der Tunnel-Schnëttstell erlaben dréckt rsync net duerch OpenVPN, an et mécht och net, datt déi aner Säit de Modul akzeptéiert. En Tunnel dréit eng bannenzeg Verbindung, där hir Protokoll- an Zilregele genee sou bleiwen, wéi se waren. Dofir ass déi éischt Fro net, wéi eng Port opzemaachen, mä wéi eng Zort Verbindung rsync mécht. Alles hei drënner geet dovun aus, datt den Tunnel schonn ugeet an nëmmen de banneschte Service nach a Fro steet.

Entscheet, wéi eng Verbindung rsync tatsächlech mécht

D’Remote-Argument am Kommando beäntwert dacks déi Fro virun all Ännerung un der Firewall. En duebelen Doppelpunkt oder en URL-Schema wielt den Daemon, wärend en eenzelen Doppelpunkt no engem Hostnumm eng Remote-Shell wielt. Liest d’Argument, dat Dir tatsächlech ausféiert, an net dat aus dem Dokumentatiounsbeispill.

Eng explizit Remote-Shell-Optioun kann d’Äntwert nach eng Kéier änneren, well se dem rsync seet, wéi ee Programm fir den Transport gestart soll ginn. Liest déi ganz Kommandolinn, inklusiv geierft Wrapper-Skripten, net nëmmen den Hostdeel.

Remote argumentWhat it opens
rsync://vault.corp.internal/archive/rsync daemon, normally TCP 873
vault.corp.internal::archive/rsync daemon, normally TCP 873
[email protected]:/srv/archive/Remote shell, normally SSH on its configured port

Daemon-Modus: Bindadress, Modul a Port

An der Daemon-Syntax nennt de Wee-Segment eng konfiguréiert Modul, net en Verzeechnes um Disk. E Modulpasswuert gëtt eréischt no der ugehollener Verbindung gepréift, an de Modul kann zousätzlech nëmme liesbar oder aus der Lëscht verstoppt sinn. Op dës Reihenfolg kënnt et uewendriwwer, wann Dir eng Feeler liest, well eng ofgeleent Verbindung an en ofgeleente Modul Feeler an zwou verschiddene Phase sinn. Keng vun deenen zwou Meldungen erzielt Iech eppes iwwer den Tunnel selwer.

En eegestännegen Daemon kann a senger Konfiguratiounsdatei un d’Tunneladress ugebonne ginn, wat en ouni eng eenzeg Firewallregel vun der ëffentlecher Schnëttstell ewech hält. De Wäert muss existéieren, wann den Daemon sech binder, an en Nolauschterer, dee vun engem Socket aktivéiert oder vun inetd geréiert gëtt, kann en och komplett ignoréieren.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Test dann géint déi privat Adress amplaz vum ëffentlechen Numm. En ëffentlechen Hostnumm gëtt op eng WAN-Adress opgeléist an hëlt en anere Wee, och wann eng eenzeg Maschinn op béides äntwert.

rsync --list-only rsync://10.44.0.1/archive/

Remote-Shell-Modus: SSH dréit den Transfer

Mat engem eenzelen Doppelpunkt startet rsync en Remote-Shell-Programm a schwätzt säi Protokoll iwwer dee Kanal, sou datt deen eenzege erreechebare Service SSH ass op wéi engem Port de Server ëmmer lauschtert. Den rsync-Daemon leeft ni, de Port 873 ass irrelewant, an d’Zougriffsentscheedung gëtt eng SSH-Kontentscheedung. Den Remote-Wee ass dann e richtegen Dateiesystem-Wee, deen d’Shell op der anerer Säit interpretéiert. Dofir mécht eng Firewallännerung, déi op 873 zilt, fir dëse Modus absolut näischt.

Dësen Design brauch en autoriséierte Kont a Verifikatioun vum Hostschlëssel, an en ierft dem SSH seng eege Authentifikatiounspolitik. Et ass dacks déi besser Wiel, wann den Transfer en net vertrautes Netz muss iwwerqueren, well d’Verschlësselung zu engem Protokoll gehéiert, deen dofir gebaut gouf. En Daemon mat Passwuertfro ass net dat selwecht.

Maacht nëmmen dee Wee op, deen Dir gewielt hutt

Soubal de Modus feststeet, erlaabt deen eenzegen banneschte Service op där eenzeger Schnëttstell, déi den Tunnel dréit. Beschränkt d’Regel no Schnëttstell, Quellpool an Ziladress, sou datt eng spéider Ännerung vun der Standard-Oflehnung se net stëll ka verbreeden. Kuckt duerno d’Reiefolleg vun de Regele no, well eng erlaabend Regel méi fréi an der Kette mécht déi schmuel Regel dekorativ.

Wann den Daemon op enger Maschinn hannert dem VPN-Gateway leeft an net um Gateway selwer, brauch de Gateway och en Weiderleeungswee an d’Zil seng eege Erlabnes an Zeréckroute. Just um Gateway de Port opzemaachen ergëtt eng Verbindung, déi ugeholl gëtt an duerno néierens hiféiert.

Verifiéiert vum Client mat deem selwechte Modus an Zil, déi Dir am Betrib wëllt benotzen. Eng erfollegräich Lëscht beweist den Nolauschterer, de Wee an d’Regel zesummen; en Zäitofbroch weist op de Wee, an eng Oflehnung weist op den Nolauschterer.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873

Ähnlech Artikelen