SSH бастион или директен пристап преку VPN: која политика важи?

Прашањето дали VPN корисниците можат да стигнат до серверите без да поминат низ скок-домаќин е прашање на политика облечено во мрежна облека. Ако бастионот извршува задолжителна контрола, тогаш приклучувањето на VPN мора да води кон него, а не околу него. Ако скок-домаќинот само премостувал сегмент што порано бил недостапен, тесна директна патека може да биде чесна замена. Изведете ги проверките подолу по ред и застанете на првата што ќе падне, бидејќи тој одговор го одредува остатокот.

Проверете што бастионот навистина контролира

Започнете со докази за сегашноста, а не со дијаграм од проектниот документ. Погледнете ја SSH конфигурацијата и филтерот на пакети на целта: ако влезниот порт 22 се прифаќа само од адресата на бастионот, скок-домаќинот е наметната контрола. Ако истиот порт прифаќа врски од целиот VPN базен, бастионот бил погодност и спроведувањето живее сосема на друго место. Историјата на тикети обично потврдува кое од двете постоело прво.

Искажете го наодот во една реченица што ја именува контролата што ја дава бастионот: ограничување на дестинацијата, втор чекор за автентикација, снимање на сесијата или оперативна видливост за време на инцидент. Токму таа реченица политиката за замена треба да ја зачува.

Проверете дали целта ги разликува патеките

Правилата за изворна адреса работат само додека двете патеки пристигнуваат со различни изворни адреси. VPN портата што го маскира сообраќајот кон подмрежата на серверите ја брише таа разлика, и тогаш секоја врска на портот 22 изгледа како да доаѓа од портата. Проверката е локална на целта и трае миг: набројте ги воспоставените SSH сесии и прочитајте ја адресата на партнерот за секоја.

Кога двете патеки се слеваат во една адреса, разликувањето мора да се направи порано: преку дестинациите што VPN смее да ги турка и преку сопствените филтри на портата. Додавањето правило на целта во таква ситуација создава илузија на граница без да го смени она што пристигнува.

Проверете што навистина чува секој запис

Три различни дневници опишуваат три различни настани и ниту еден не го заменува другиот. Записот за врска на VPN покажува дека идентитет влегол во мрежниот опсег. Записот за препраќање на бастионот покажува TCP канал што го напушта кон дестинација и порт. Дневникот за автентикација на целта покажува дека сметка се најавила преку SSH. Токму читањето заедно создава временска линија; читањето само на еден создава претпоставка.

Ниту еден од тие записи не содржи што се случило внатре во шифрираната сесија меѓу клиентот и целта. Ако прегледот на ниво на команда е услов, потребен е намерно распореден механизам за снимање со сопствени правила за ракување со податоци. Да се очекува тоа од дневниците на скок-домаќинот е начинот на кој аудиторската празнина останува скриена додека не стане важна.

Проверете каде политиката навистина се спроведува

Поставка на клиентот како ProxyJump е барање, не ограничување. OpenSSH со задоволство ќе отвори директна врска кога дестинацијата е достапна, па конфигурациските датотеки на преносните сметачи ја опишуваат намерата, додека огнените ѕидови го одлучуваат исходот. Спроведувањето им припаѓа на дозволените дестинации на VPN портата и на сопствените правила за пристап на целта, а корисникот не може да уреди ниту едно од двете. Истовремено ревидирајте ги алтернативните патеки: втор интерфејс, јавен слушател, mesh слој или постар тунел меѓу локациите секој може да го врати прекинот што штотуку го затворивте.

Сепак конфигурирајте ProxyJump, бидејќи ја прави одобрената рута лесната и спречува рутинската работа да создава исклучоци. Потврдете што клиентот навистина решава пред да му верувате.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Проверете со намерен директен обид

Политика што никогаш не била тестирана е надеж. Од клиент приклучен на VPN, обидете се со патеката што сега треба да биде одбиена, потоа обидете се со одобрената и зачувајте ги двата резултата. Одбиениот обид е доказот дека промената стапила на сила.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Чистиот резултат изгледа како одбиена или истечена директна врска до адресата на целта, по што следи успешна најава на скок-домаќинот и запис за автентикација на страната на целта што го именува поддржаниот извор. Сето друго значи дека границата сѐ уште е порозна, што и да вели документацијата. Запишете го датумот, изменетото правило и двата исхода, потоа дајте ѝ на патеката за обнова сопственик и рок на важност за да не стане итниот пристап тивко секојдневна рута.