rsync преку VPN: портата 873 на демонот наспроти SSH режим

Дозволувањето на TCP 873 на интерфејсот на тунелот не го турка rsync преку OpenVPN, и не прави спротивната страна да го прифати модулот. Тунелот носи внатрешна врска чии правила за протокол и одредиште остануваат точно како што биле. Затоа првото прашање не е која порта да се отвори, туку каков вид врска воспоставува rsync. Сѐ подолу претпоставува дека тунелот веќе е кренат и дека само внатрешната услуга е сомнителна.

Одредете каква врска rsync всушност воспоставува

Далечниот аргумент во командата обично одговара на тоа прашање пред каква било промена на огнениот ѕид. Двојна две точки или URL шема го избираат демонот, додека единечна две точки по име на домаќин избира далечна обвивка. Читајте го аргументот што навистина го извршувате, не тој од примерот во документацијата.

Јасна опција за далечна обвивка може повторно да го смени одговорот, бидејќи му кажува на rsync која програма да ја стартува за преносот. Читајте ја целата командна линија, вклучително наследените скрипти за обвиткување, не само делот со домаќинот.

Режим на демон: адреса за врзување, модул и порта

Во синтаксата на демонот, сегментот на патеката именува конфигуриран модул, а не директориум на дискот. Лозинката на модулот се проверува само откако врската ќе биде прифатена, а модулот дополнително може да биде само за читање или скриен од списокот. Тој редослед е важен кога читате грешка, бидејќи одбиената врска и одбиениот модул се неуспеси во две различни фази. Ниту една од двете пораки не ви кажува ништо за самиот тунел.

Самостоен демон може да се закачи на адресата на тунелот во неговата конфигурациска датотека, што го држи надвор од јавниот интерфејс без ниту едно правило на огнениот ѕид. Вредноста мора да постои кога демонот се врзува, а слушателот активиран од сокет или управуван од inetd може целосно да го игнорира.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Потоа тестирајте против приватната адреса, а не против јавното име. Јавното име на домаќин се разрешува во WAN адреса и оди по друг пат, дури и кога една машина одговара на двете.

rsync --list-only rsync://10.44.0.1/archive/

Режим на далечна обвивка: SSH го носи преносот

Со една две точки rsync стартува програма за далечна обвивка и го зборува нејзиниот протокол преку тој канал, па единствената достапна услуга е SSH на која и да е порта на која слуша серверот. Демонот на rsync никогаш не работи, портата 873 е неважна, а одлуката за пристап станува одлука за SSH сметка. Далечната патека тогаш е вистинска патека во датотечен систем што ја толкува обвивката од другата страна. Затоа промена на огнениот ѕид насочена кон 873 не прави апсолутно ништо за овој режим.

Тој дизајн бара овластена сметка и проверка на клучот на домаќинот, и ја наследува сопствената политика за автентикација на SSH. Често е подобар избор кога преносот мора да премине низ недоверлива мрежа, бидејќи шифрирањето му припаѓа на протокол изграден за тоа. Демон што бара лозинка не е истото.

Отворете ја само патеката што ја избравте

Кога режимот е утврден, дозволете ја единствената внатрешна услуга на единствениот интерфејс што го носи тунелот. Ограничете го правилото по интерфејс, изворен базен и одредишна адреса, за подоцнежната промена на стандардното одбивање да не може тивко да го прошири. Потоа прегледајте го редоследот на правилата, бидејќи дозволувачко правило порано во синџирот го прави тесното правило само декоративно.

Ако демонот работи на машина зад VPN гејтвејот, а не на самиот гејтвеј, гејтвејот исто така бара патека за препраќање, а целта бара сопствена дозвола и повратна рута. Отворањето на портата само на гејтвејот создава врска што се прифаќа и потоа не оди никаде.

Проверете од клиентот со истиот режим и одредиште што планирате да ги користите во производство. Успешен список докажува заедно слушателот, рутата и правилото; истекот на време покажува на патеката, а одбивањето на слушателот.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873