SSH bastionas ar tiesioginė VPN prieiga: kuri politika galioja?

Ar VPN naudotojai gali pasiekti serverius neperžengę šuolio mazgo, yra tinklo drabužiais apsirengęs politikos klausimas. Jei bastionas atlieka privalomą kontrolę, prisijungimas prie VPN turi vesti prie jo, o ne aplink jį. Jei šuolio mazgas tik sujungdavo segmentą, kuris anksčiau buvo nepasiekiamas, siauras tiesioginis kelias gali būti sąžiningas pakaitalas. Atlikite žemiau pateiktus patikrinimus iš eilės ir sustokite ties pirmuoju nepavykusiu, nes tas atsakymas nulemia likusius.

Patikrinkite, ką bastionas iš tikrųjų kontroliuoja

Pradėkite nuo dabartinės būklės įrodymų, o ne nuo projektinio dokumento schemos. Pažiūrėkite į tikslo SSH konfigūraciją ir paketų filtrą: jei įeinantis 22 prievadas priimamas tik iš bastiono adreso, šuolio mazgas yra priverstinė kontrolė. Jei tas pats prievadas priima jungtis iš viso VPN telkinio, bastionas buvo tik patogumas, o vykdymas gyvena visai kitur. Bilietų istorija paprastai patvirtina, kuris iš dviejų atsirado pirmiau.

Suformuluokite išvadą vienu sakiniu, įvardijančiu kontrolę, kurią suteikia bastionas: paskirties apribojimas, antras autentifikavimo žingsnis, sesijos įrašymas arba operacinis matomumas incidento metu. Būtent šį sakinį turi išsaugoti pakeitimo politika.

Patikrinkite, ar tikslas atskiria kelius

Šaltinio adreso taisyklės veikia tik tol, kol du keliai ateina su skirtingais šaltinio adresais. VPN šliuzas, maskuojantis srautą į serverių potinklį, ištrina šį skirtumą, ir tada kiekvienas prisijungimas prie 22 prievado atrodo ateinantis iš šliuzo. Patikrinimas atliekamas pačiame tikslas ir trunka akimirką: išvardinkite nustatytas SSH sesijas ir perskaitykite kiekvienos partnerio adresą.

Kai abu keliai susilieja į vieną adresą, skirtumą reikia padaryti anksčiau: pagal paskirties vietas, į kurias VPN leidžiama siųsti, ir pagal paties šliuzo filtrus. Taisyklės pridėjimas prie tikslo tokioje situacijoje sukuria ribos iliuziją, nekeičiant to, kas atkeliauja.

Patikrinkite, ką iš tikrųjų saugo kiekvienas įrašas

Trys skirtingi žurnalai aprašo tris skirtingus įvykius, ir nė vienas nepakeičia kito. VPN ryšio įrašas rodo, kad tapatybė pateko į tinklo sritį. Bastiono persiuntimo įrašas rodo TCP kanalą, paliekantį jį paskirties ir prievado link. Tikslo autentifikavimo žurnalas rodo, kad paskyra prisijungė per SSH. Būtent skaitymas kartu sukuria laiko juostą; vieno skaitymas atskirai sukuria spėjimą.

Nė viename iš šių įrašų nėra to, kas įvyko užšifruotos sesijos tarp kliento ir tikslo viduje. Jei komandų lygmens peržiūra yra reikalavimas, jai reikia sąmoningai įdiegto įrašymo mechanizmo su savo duomenų tvarkymo taisyklėmis. Tikėtis to iš šuolio mazgo žurnalų yra būdas, kuriuo audito spraga lieka paslėpta, kol ji nepradeda reikšti.

Patikrinkite, kur politika iš tikrųjų vykdoma

Kliento nustatymas, toks kaip ProxyJump, yra prašymas, o ne apribojimas. OpenSSH mielai atvers tiesioginį ryšį, kai tikslas pasiekiamas, todėl nešiojamųjų kompiuterių konfigūracijos failai aprašo ketinimą, o ugniasienės nusprendžia rezultatą. Vykdymas priklauso VPN šliuzo leidžiamoms paskirtims ir paties tikslo prieigos taisyklėms, ir naudotojas negali redaguoti nė vienos. Tuo pačiu metu audituokite alternatyvius kelius: antras sąsaja, viešas klausytojas, mesh sluoksnis ar senesnis tunelis tarp aikštelių kiekvienas gali atkurti ką tik uždarytą trumpiausią kelią.

Vis dėlto sukonfigūruokite ProxyJump, nes tai padaro patvirtintą maršrutą lengviausiu ir neleidžia kasdieniam darbui kurti išimčių. Patvirtinkite, ką klientas iš tikrųjų išsprendžia, prieš juo pasitikėdami.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Patikrinkite sąmoningu tiesioginiu bandymu

Politika, kuri niekada nebuvo išbandyta, yra viltis. Iš prie VPN prijungto kliento pabandykite kelią, kuris dabar turėtų būti atmestas, tada pabandykite patvirtintą ir išsaugokite abu rezultatus. Atmestas bandymas yra įrodymas, kad pakeitimas įsigaliojo.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Švarus rezultatas atrodo kaip atmestas arba laiku pasibaigęs tiesioginis ryšys į tikslo adresą, po kurio sėkmingai prisijungiama prie šuolio mazgo ir tikslo pusėje atsiranda autentifikavimo įrašas, įvardijantis palaikomą šaltinį. Bet kas kita reiškia, kad riba vis dar akytė, ką bepasakytų dokumentacija. Užrašykite datą, pakeistą taisyklę ir abu rezultatus, tada suteikite atkūrimo keliui savininką ir galiojimo pabaigos datą kad avarinė prieiga tyliai netaptų kasdieniu maršrutu.