SSH bastions vai tieša VPN piekļuve: kura politika ir spēkā?

Jautājums, vai VPN lietotāji var sasniegt serverus, nešķērsojot lēciena resursdatoru, ir politikas jautājums tīkla tērpā. Ja bastions veic obligātu kontroli, tad pievienošanās VPN ir jāved pie tā, nevis tam apkārt. Ja lēciena resursdators tikai savienoja segmentu, kas iepriekš bija nesasniedzams, šaurs tiešs ceļš var būt godīga aizstāšana. Veiciet tālāk minētās pārbaudes pēc kārtas un apstājieties pie pirmās neizdevušās, jo šī atbilde nosaka pārējo.

Pārbaudiet, ko bastions patiešām kontrolē

Sāciet ar pierādījumiem par pašreizējo stāvokli, nevis ar projektēšanas dokumenta shēmu. Apskatiet mērķa SSH konfigurāciju un pakešu filtru: ja ienākošā 22. porta pieprasījumi tiek pieņemti tikai no bastiona adreses, lēciena resursdators ir uzspiesta kontrole. Ja tas pats ports pieņem savienojumus no visa VPN pūla, bastions bija ērtība, un īstenošana dzīvo pavisam citur. Biļešu vēsture parasti apstiprina, kurš no abiem pastāvēja pirmais.

Formulējiet secinājumu vienā teikumā, nosaucot kontroli, ko nodrošina bastions: galamērķa ierobežojums, otrs autentifikācijas solis, sesijas ierakstīšana vai operatīvā redzamība incidenta laikā. Tieši šis teikums ir tas, kas jāsaglabā aizstāšanas politikai.

Pārbaudiet, vai mērķis atšķir ceļus

Avota adreses noteikumi darbojas tikai tik ilgi, kamēr abi ceļi ierodas ar atšķirīgām avota adresēm. VPN vārteja, kas maskē trafiku uz serveru apakštīklu, izdzēš šo atšķirību, un tad katrs savienojums ar 22. portu izskatās kā nākošs no vārtejas. Pārbaude ir lokāla mērķī un aizņem mirkli: uzskaitiet izveidotās SSH sesijas un nolasiet katras partnera adresi.

Kad abi ceļi saplūst vienā adresē, atšķirība jāizdara agrāk: pēc galamērķiem, uz kuriem VPN drīkst sūtīt, un pēc pašas vārtejas filtriem. Noteikuma pievienošana mērķī šādā situācijā rada robežas ilūziju, nemainot to, kas ierodas.

Pārbaudiet, ko patiešām glabā katrs ieraksts

Trīs dažādi žurnāli apraksta trīs dažādus notikumus, un neviens neaizstāj otru. VPN savienojuma ieraksts parāda, ka identitāte ir iekļuvusi tīkla tvērumā. Bastiona pārsūtīšanas ieraksts parāda TCP kanālu, kas to atstāj galamērķa un porta virzienā. Mērķa autentifikācijas žurnāls parāda, ka konts ir pierakstījies caur SSH. Tieši lasīšana kopā rada laika skalu; viena lasīšana atsevišķi rada minējumu.

Neviens no šiem ierakstiem nesatur to, kas notika šifrētās sesijas iekšpusē starp klientu un mērķi. Ja komandu līmeņa pārskatīšana ir prasība, tai vajadzīgs apzināti izvietots ierakstīšanas mehānisms ar saviem datu apstrādes noteikumiem. To gaidīt no lēciena resursdatora žurnāliem ir veids, kā audita plaisa paliek apslēpta, līdz tā kļūst svarīga.

Pārbaudiet, kur politika patiešām tiek īstenota

Klienta iestatījums, piemēram, ProxyJump, ir pieprasījums, nevis ierobežojums. OpenSSH labprāt atvērs tiešu savienojumu, kad galamērķis ir sasniedzams, tāpēc portatīvo datoru konfigurācijas faili apraksta nodomu, bet ugunsmūri nosaka iznākumu. Īstenošana pieder VPN vārtejas atļautajiem galamērķiem un paša mērķa piekļuves noteikumiem, un lietotājs nevar rediģēt nevienu no tiem. Vienlaikus auditējiet alternatīvos ceļus: otra saskarne, publisks klausītājs, mesh slānis vai vecāks savienojums starp vietnēm katrs var atjaunot tikko aizvērto īsceļu.

Tomēr konfigurējiet ProxyJump, jo tas padara apstiprināto maršrutu par vieglo un neļauj ikdienas darbam radīt izņēmumus. Apstipriniet, ko klients patiešām atrisina, pirms tam uzticēties.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Pārbaudiet ar apzinātu tiešu mēģinājumu

Politika, kas nekad nav pārbaudīta, ir cerība. No klienta, kas pievienots VPN, mēģiniet ceļu, kas tagad būtu jānoraida, pēc tam mēģiniet apstiprināto un saglabājiet abus rezultātus. Noraidītais mēģinājums ir pierādījums, ka izmaiņas stājās spēkā.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Tīrs rezultāts izskatās kā noraidīts vai laikā beidzies tiešs savienojums uz mērķa adresi, kam seko veiksmīga pieteikšanās lēciena resursdatorā un autentifikācijas ieraksts mērķa pusē, kurā nosaukts atbalstītais avots. Jebkas cits nozīmē, ka robeža joprojām ir poraina, lai ko teiktu dokumentācija. Pierakstiet datumu, mainīto noteikumu un abus rezultātus, un tad piešķiriet atjaunošanas ceļam atbildīgo un beigu datumu lai ārkārtas piekļuve klusi nekļūtu par ikdienas maršrutu.