SSH ബാസ്റ്റ്യൺ അല്ലെങ്കിൽ നേരിട്ടുള്ള VPN ആക്സസ്: ഏത് നയമാണ് ബാധകം?

VPN ഉപയോക്താക്കൾക്ക് ജംപ് ഹോസ്റ്റ് കടക്കാതെ സെർവറുകളിൽ എത്താമോ എന്നത് നെറ്റ്വർക്കിംഗ് വേഷമണിഞ്ഞ ഒരു നയപ്രശ്നമാണ്. ബാസ്റ്റ്യൺ നിർബന്ധിത നിയന്ത്രണം നടത്തുന്നുവെങ്കിൽ, VPN-ൽ ചേരുന്നത് അതിലേക്കാണ് നയിക്കേണ്ടത്, അതിനെ ചുറ്റിച്ചുള്ളതല്ല. ജംപ് ഹോസ്റ്റ് മുമ്പ് എത്താനാകാത്ത ഒരു വിഭാഗത്തെ മാത്രം ബന്ധിപ്പിച്ചിരുന്നുവെങ്കിൽ, ഇടുങ്ങിയ നേരിട്ടുള്ള പാത സത്യസന്ധമായ പകരമാകാം. താഴെയുള്ള പരിശോധനകൾ ക്രമത്തിൽ ചെയ്ത് ആദ്യം പരാജയപ്പെടുന്നതിൽ നിർത്തുക, ആ ഉത്തരമാണ് ബാക്കിയെല്ലാം തീരുമാനിക്കുന്നത്.

ബാസ്റ്റ്യൺ യഥാർത്ഥത്തിൽ എന്താണ് നിയന്ത്രിക്കുന്നതെന്ന് പരിശോധിക്കുക

ഡിസൈൻ രേഖയിലെ ഡയഗ്രമിൽ നിന്നല്ല, ഇപ്പോഴത്തെ അവസ്ഥയെക്കുറിച്ചുള്ള തെളിവുകളിൽ നിന്ന് തുടങ്ങുക. ലക്ഷ്യത്തിന്റെ SSH കോൺഫിഗറേഷനും പാക്കറ്റ് ഫിൽട്ടറും നോക്കുക: ഇൻബൗണ്ട് പോർട്ട് 22 ബാസ്റ്റ്യണിന്റെ വിലാസത്തിൽ നിന്ന് മാത്രം സ്വീകരിക്കുന്നുവെങ്കിൽ ജംപ് ഹോസ്റ്റ് അടിച്ചേൽപ്പിച്ച നിയന്ത്രണമാണ്. അതേ പോർട്ട് മുഴുവൻ VPN പൂളിൽ നിന്നും കണക്ഷനുകൾ സ്വീകരിക്കുന്നുവെങ്കിൽ ബാസ്റ്റ്യൺ വെറും സൗകര്യമായിരുന്നു, നടപ്പാക്കൽ മറ്റെവിടെയോ ആണ്. ടിക്കറ്റ് ചരിത്രം സാധാരണയായി രണ്ടിൽ ഏതാണ് ആദ്യം ഉണ്ടായിരുന്നതെന്ന് സ്ഥിരീകരിക്കും.

ബാസ്റ്റ്യൺ നൽകുന്ന നിയന്ത്രണത്തെ പേരെടുത്ത് പറയുന്ന ഒരു വാക്യത്തിൽ കണ്ടെത്തൽ അവതരിപ്പിക്കുക: ലക്ഷ്യസ്ഥാന നിയന്ത്രണം, രണ്ടാം പ്രാമാണീകരണ ഘട്ടം, സെഷൻ റെക്കോർഡിംഗ്, അല്ലെങ്കിൽ സംഭവവേളയിൽ പ്രവർത്തന ദൃശ്യത. ആ വാക്യമാണ് പകരം നയം സംരക്ഷിക്കേണ്ടത്.

ലക്ഷ്യത്തിന് പാതകൾ വേർതിരിക്കാനാകുമോ എന്ന് പരിശോധിക്കുക

സ്രോതസ്സ് വിലാസ നിയമങ്ങൾ രണ്ട് പാതകളും വ്യത്യസ്ത സ്രോതസ്സ് വിലാസങ്ങളുമായി എത്തുന്നിടത്തോളം മാത്രമേ പ്രവർത്തിക്കൂ. സെർവർ സബ്നെറ്റിലേക്കുള്ള ട്രാഫിക് മാസ്ക് ചെയ്യുന്ന VPN ഗേറ്റ്‌വേ ആ വ്യത്യാസം മായ്ച്ചുകളയുന്നു, പിന്നീട് പോർട്ട് 22-ലേക്കുള്ള ഓരോ കണക്ഷനും ഗേറ്റ്‌വേയിൽ നിന്ന് വരുന്നതായി തോന്നും. പരിശോധന ലക്ഷ്യത്തിൽ തന്നെ പ്രാദേശികമാണ്, ഒരു നിമിഷം മതി: സ്ഥാപിത SSH സെഷനുകൾ പട്ടികപ്പെടുത്തി ഓരോന്നിന്റെയും പീയർ വിലാസം വായിക്കുക.

രണ്ട് പാതകളും ഒരു വിലാസത്തിലേക്ക് ചുരുങ്ങുമ്പോൾ, വേർതിരിവ് നേരത്തേ ചെയ്യണം: VPN-ന് അയക്കാൻ അനുവദിച്ച ലക്ഷ്യസ്ഥാനങ്ങളും ഗേറ്റ്‌വേയുടെ സ്വന്തം ഫിൽട്ടറുകളും വഴി. അത്തരം സാഹചര്യത്തിൽ ലക്ഷ്യത്തിൽ ഒരു നിയമം ചേർക്കുന്നത് എത്തുന്നത് മാറ്റാതെ അതിർത്തിയുടെ മിഥ്യ സൃഷ്ടിക്കുന്നു.

ഓരോ രേഖയും യഥാർത്ഥത്തിൽ എന്താണ് സൂക്ഷിക്കുന്നതെന്ന് പരിശോധിക്കുക

മൂന്ന് വ്യത്യസ്ത ലോഗുകൾ മൂന്ന് വ്യത്യസ്ത സംഭവങ്ങൾ വിവരിക്കുന്നു, ഒന്നും മറ്റൊന്നിന് പകരമാകുന്നില്ല. VPN-ന്റെ കണക്ഷൻ രേഖ ഒരു ഐഡന്റിറ്റി നെറ്റ്‌വർക്ക് പരിധിയിൽ പ്രവേശിച്ചതായി കാണിക്കുന്നു. ബാസ്റ്റ്യണിന്റെ ഫോർവേഡിംഗ് രേഖ അതിൽ നിന്ന് ഒരു ലക്ഷ്യസ്ഥാനത്തേക്കും പോർട്ടിലേക്കും പോകുന്ന TCP ചാനൽ കാണിക്കുന്നു. ലക്ഷ്യത്തിന്റെ പ്രാമാണീകരണ ലോഗ് ഒരു അക്കൗണ്ട് SSH വഴി സൈൻ ഇൻ ചെയ്തതായി കാണിക്കുന്നു. ഇവ ഒരുമിച്ച് വായിക്കുന്നതാണ് സമയരേഖ സൃഷ്ടിക്കുന്നത്; ഒന്ന് മാത്രം വായിക്കുന്നത് ഊഹം സൃഷ്ടിക്കുന്നു.

ഈ രേഖകളിൽ ഒന്നും ക്ലയന്റും ലക്ഷ്യവും തമ്മിലുള്ള എൻക്രിപ്റ്റ് ചെയ്ത സെഷനുള്ളിൽ എന്ത് സംഭവിച്ചു എന്നത് ഉൾക്കൊള്ളുന്നില്ല. കമാൻഡ് തല പരിശോധന ആവശ്യമാണെങ്കിൽ, സ്വന്തം ഡാറ്റാ കൈകാര്യം ചെയ്യൽ നിയമങ്ങളുള്ള, ബോധപൂർവം വിന്യസിച്ച റെക്കോർഡിംഗ് സംവിധാനം വേണം. ജംപ്-ഹോസ്റ്റ് ലോഗുകളിൽ നിന്ന് അത് പ്രതീക്ഷിക്കുന്നതാണ് ഓഡിറ്റ് വിടവ് പ്രധാനമാകുന്നതുവരെ മറഞ്ഞിരിക്കുന്ന വഴി.

നയം യഥാർത്ഥത്തിൽ എവിടെ നടപ്പാക്കുന്നുവെന്ന് പരിശോധിക്കുക

ProxyJump പോലുള്ള ക്ലയന്റ് ക്രമീകരണം ഒരു അഭ്യർത്ഥനയാണ്, നിയന്ത്രണമല്ല. ലക്ഷ്യം എത്താവുന്നതാണെങ്കിൽ OpenSSH സന്തോഷത്തോടെ നേരിട്ടുള്ള കണക്ഷൻ തുറക്കും, അതിനാൽ ലാപ്‌ടോപ്പുകളിലെ കോൺഫിഗറേഷൻ ഫയലുകൾ ഉദ്ദേശ്യം വിവരിക്കുമ്പോൾ ഫയർവാളുകളാണ് ഫലം തീരുമാനിക്കുന്നത്. നടപ്പാക്കൽ VPN ഗേറ്റ്‌വേയുടെ അനുവദിച്ച ലക്ഷ്യസ്ഥാനങ്ങളിലും ലക്ഷ്യത്തിന്റെ സ്വന്തം ആക്സസ് നിയമങ്ങളിലുമാണ്, രണ്ടും ഉപയോക്താവിന് തിരുത്താനാകില്ല. അതേസമയം ബദൽ പാതകൾ ഓഡിറ്റ് ചെയ്യുക: രണ്ടാം ഇന്റർഫേസ്, പൊതു ശ്രോതാവ്, മെഷ് പാളി അല്ലെങ്കിൽ പഴയ സൈറ്റ്-ടു-സൈറ്റ് ടണൽ എന്നിവയ്ക്ക് നിങ്ങൾ ഇപ്പോൾ അടച്ച കുറുക്കുവഴി പുനഃസ്ഥാപിക്കാം.

എന്നിട്ടും ProxyJump കോൺഫിഗർ ചെയ്യുക, കാരണം അത് അംഗീകൃത പാതയെ എളുപ്പമുള്ളതാക്കുകയും ദിനംപ്രതിയുള്ള ജോലി അപവാദങ്ങൾ സൃഷ്ടിക്കുന്നത് തടയുകയും ചെയ്യുന്നു. വിശ്വസിക്കുന്നതിന് മുമ്പ് ക്ലയന്റ് യഥാർത്ഥത്തിൽ എന്താണ് പരിഹരിക്കുന്നതെന്ന് സ്ഥിരീകരിക്കുക.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

ബോധപൂർവമുള്ള നേരിട്ടുള്ള ശ്രമത്തിലൂടെ സ്ഥിരീകരിക്കുക

ഒരിക്കലും പരീക്ഷിക്കാത്ത നയം ഒരു പ്രതീക്ഷയാണ്. VPN-ൽ ബന്ധിപ്പിച്ച ക്ലയന്റിൽ നിന്ന്, ഇപ്പോൾ നിരസിക്കേണ്ട പാത പരീക്ഷിക്കുക, പിന്നീട് അംഗീകൃത പാത പരീക്ഷിക്കുക, രണ്ട് ഫലങ്ങളും സൂക്ഷിക്കുക. നിരസിക്കപ്പെട്ട ശ്രമമാണ് മാറ്റം പ്രാബല്യത്തിൽ വന്നതിന്റെ തെളിവ്.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

വൃത്തിയുള്ള ഫലം ലക്ഷ്യ വിലാസത്തിലേക്കുള്ള നിരസിക്കപ്പെട്ടതോ സമയം കഴിഞ്ഞതോ ആയ നേരിട്ടുള്ള കണക്ഷൻ പോലെയാണ്, തുടർന്ന് ജംപ് ഹോസ്റ്റിലേക്ക് വിജയകരമായ സൈൻ-ഇൻ, ലക്ഷ്യത്തിന്റെ ഭാഗത്ത് പിന്തുണയ്ക്കുന്ന സ്രോതസ്സിനെ പേരെടുത്ത് പറയുന്ന പ്രാമാണീകരണ എൻട്രി. മറ്റെന്തെങ്കിലും ആണെങ്കിൽ രേഖ എന്ത് പറഞ്ഞാലും അതിർത്തി ഇപ്പോഴും ദ്വാരമുള്ളതാണ്. തീയതി, മാറ്റിയ നിയമം, രണ്ട് ഫലങ്ങൾ എന്നിവ രേഖപ്പെടുത്തി, പിന്നീട് വീണ്ടെടുപ്പ് പാതയ്ക്ക് ഒരു ഉടമയും ഒരു കാലഹരണ തീയതിയും നൽകുക അടിയന്തര ആക്സസ് നിശ്ശബ്ദമായി ദിനംപ്രതിയുള്ള പാതയാകാതിരിക്കാൻ.