SSH-Bastion oder direkten VPN-Zougang: wéi eng Politik gëllt?

Ob VPN-Benotzer Serveren erreeche kënnen, ouni en Iwwersprongshost ze passéieren, ass eng Politiksfro an Netzwierkgewand. Wann d’Bastion eng erfuerderlech Kontroll ausübt, muss de Bäitrëtt bei de VPN dohinner féieren an net derëm. Wann den Iwwersprongshost just en Deel iwwerbréckt huet, deen e virdrun onereechbar war, kann en schmuele direkten Wee den éierlechen Ersatz sinn. Maacht d’Kontrollen hei drënner an der Rei a stoppt bei déi éischt, déi feelt, well déi Äntwert de Rescht entscheet.

Kontrolléiert, wat d’Bastion tatsächlech kontrolléiert

Fänkt mat Beweiser iwwer den haitegen Zoustand un, net mat engem Diagramm aus dem Design-Dokument. Kuckt d’SSH-Konfiguratioun an de Paketfilter vum Zil: wann een agaangen Port 22 just vun der Adress vun der Bastion ugeholl gëtt, ass den Iwwersprongshost eng erzwongene Kontroll. Wann dee selwechte Port Verbindunge vum ganze VPN-Pool unhëlt, war d’Bastion eng Bequemlechkeet an d’Ëmsetzung wunnt ganz anzwousch anescht. D’Tickethistorie bestätegt gewéinlech, wei vun deenen zwee et d’éischt gouf.

Formuléiert de Befund an engem Saz, dee meng Kontroll nennt, déi d’Bastion ubitt: Zilbeschränkung, en zweeten Authentifizéierungsschratt, Opnam vun der Sëtzung oder operationell Visibilitéit bei engem Zwëschenfall. Genee dee Saz muss d’Ersatzpolitik halen.

Kontrolléiert, ob d’Zil d’Weeër ënnerscheede kann

Reegele fir d’Quelladress funktionéieren nëmmen esou laang, wéi déi zwee Weeër mat ënnerschiddlechen Quelladressen ukommen. En VPN-Gateway, deen den Trafik zum Server-Ënternetz maskéiert, läscht deen Ënnerscheed aus, an da gesäit all Verbindung op de Port 22 aus, wéi wann se vum Gateway kënnt. D’Kontroll ass lokal um Zil a brauch en Ament: lëscht déi etabléiert SSH-Sëtzungen op a liest d’Adress vum Géigeniwwer fir jiddwereng.

Wann déi zwee Weeër an eng Adress zesummefalen, muss den Ënnerscheed méi fréi gemaach ginn, duerch d’Ziler, déi den VPN dréckt erlaabt ass, an duerch d’Filtere vum Gateway selwer. Eng Regel um Zil derbäizesetzen an där Situatioun schaaft d’Illusioun vun enger Grenz, ouni ze änneren, wat ukënnt.

Kontrolléiert, wat all Opzeechnung wierklech hält

Dräi verschidde Loge beschreiwen dräi verschidden Evenementer, an keen ersetzt deen aneren. D’Verbindungsopzeechnung vum VPN weist, datt eng Identitéit an den Netzberäich erakomm ass. D’Weiderleeungsopzeechnung vun der Bastion weist en TCP-Kanal, deen se verléisst Richtung Zil a Port. D’Authentifizéierungslog vum Zil weist, datt e Kont iwwer SSH ageloggt huet. Et ass d’Liesen zesummen, wat eng Zäitlinn ergëtt; een eleng liest ergëtt eng Vermutung.

Keng vun dësen Opzeechnunge enthält, wat bannen an der verschlësselter Sëtzung tëschent Client an Zil geschitt ass. Wann eng Iwwerpréiwung op Kommandoniveau gefrot ass, brauch se en absichtlech installéierte Opnammechanismus mat sengen eegene Reegele fir Daten ze behandelen. Dat vun de Loge vum Iwwersprongshost ze erwaarden ass de Wee, wéi eng Auditlück verstoppt bleift, bis se zielt.

Kontrolléiert, wou d’Politik tatsächlech ëmgesat gëtt

Eng Clientastellung wéi ProxyJump ass eng Ufro, keng Beschränkung. OpenSSH mécht gären eng direkt Verbindung op, wann d’Zil erreechbar ass, dofir beschreiwen d’Konfiguratiounsdateien op Laptoppen d’Absicht, wärend Firewallen d’Resultat entscheeden. D’Ëmsetzung gehéiert zu den erlaabten Ziler vum VPN-Gateway an zu den eegene Zougangsregele vum Zil, a keent vun deenen zwee kann de Benotzer änneren. Auditéiert gläichzäiteg déi alternativ Weeër: eng zweet Schnëttstell, en ëffentleche Lauschterer, eng Mesh-Schicht oder en eeleren Tunnell tëschent Standuert kënnen all de Kuerzwee erëmbréngen, deen Dir just zougemaach hutt.

Konfiguréiert ProxyJump awer trotzdem, well et de guttgeheeschte Wee zum einfachen mécht a verhënnert, datt Routineaarbecht Ausnamen erzeugt. Bestätegt, wat de Client tatsächlech opléist, ier Dir him vertraut.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Verifizéiert mat engem absichtlechen direkten Versuch

Eng Politik, déi ni getest gouf, ass eng Hoffnung. Vun engem Client, deen um VPN hänkt, versicht de Wee, deen elo soll ofgeleent ginn, duerno versicht de guttgeheeschten, a behält déi zwee Resultater. Den ofgeleente Versuch ass de Beweis, datt d’Ännerung gewierkt huet.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

En proppert Resultat gesäit aus wéi eng ofgeleent oder ofgelaf direkt Verbindung op d’Ziladress, gefollegt vun engem erfolgreichen Login um Iwwersprongshost an engem Authentifizéierungsandrag op der Zilsäit, deen déi ënnerstëtzte Quell nennt. Alles anescht bedeit, datt d’Grenz nach ëmmer duerchlässig ass, wat och ëmmer d’Dokumentatioun seet. Notéiert den Datum, déi geännert Regel an déi zwee Resultater, an dann gitt dem Erhuelungswee en Eegentemer an en Ofleefdatum sou datt Noutzougang net stëll den alldeegleche Wee gëtt.