Хост гадагш чиглэсэн VPN ажиллуулах үед локал SSH-ийг хадгал

Жижиг Linux сервер өөрийн байршуулсан аппликейшны төлөө гадагш чиглэсэн VPN ажиллуулдаг бөгөөд администратор хөрш ширээнээс SSH-ээр түүнд хүрэхийг хүсэж байна. Энэ нь боломжийн шаардлага бөгөөд ихэвчлэн порт дамжуулах, үйлчилгээ үзүүлэгчийн хаяг, туннелийн цоорхой шаарддаггүй. Шаардлагатай зүйл бол VPN клиент маршрутын хүснэгтэд хийснээс өвлөгдөөгүй, зориуд зохион бүтээсэн удирдлагын зам юм.

Доорх алхмууд администратор нэг LAN-д байна гэж үзнэ.Алсын удирдлага нь өөр хариулттай өөр асуудал юм.

SSH-ийг администраторууд ашигладаг хаягт холбо

Сонсогчоос эхэл.ss -ltnp | grep :22 sshd юунд холбогдсоныг харуулдаг бөгөөд 0.0.0.0 дээрх сонсогч туннелийг оролцуулан интерфейс бүрээс холболт хүлээн авдаг. LAN хаягт холбох нь илүү нарийн бөгөөд зорилгыг харагдахуйц болгоно:ListenAddress 192.168.10.20 файлд sshd_config, дараа нь тохиргооны шалгалт ба дахин ачаалт. Тэр хаяг дахь үсгийн алдаа орлуулагч тэмдэгтээс илүү харагдана, учир нь хаяг байхгүй үед sshd ажиллахаас татгалздаг.

Хост түлхүүрийн шалгалт, хэрэглэгч бүрийн баталгаажуулалтыг яг байгаагаар нь үлдээ. «Энэ бол зөвхөн локал сүлжээ» нь баталгаажуулалтын арга биш бөгөөд маршрут богино гэж түлхүүрийн шалгалтыг алгасах удирдлагын суваг бол буруу ашиглалтыг хүлээж буй суваг юм. DHCP нөөц эсвэл статик хаяг нь зорилтыг таамаглахуйц болгох бөгөөд үүнийг серверийн нийтийн таних тэмдэг болгохгүй.

LAN маршрутыг туннелиас гадуур бари

192.168.10.0/24 хаягтай хост тэр префиксэд холбогдсон маршруттай бөгөөд илүү тодорхой маршрут нэг хүснэгт дэх VPN-ийн өгөгдмөлийг ялна. Тиймээс туннель өргөгдөхөд локал SSH ихэвчлэн өөрөө ажилласаар байдаг. Таамаглахын оронд шалга:ip route get 192.168.10.50 цөм ашиглах интерфейс ба эх хаягийг нэрлэдэг бөгөөд хариулт нь туннель биш, LAN төхөөрөмж байх ёстой. Администраторын машинаас ч шалгалтыг давт, учир нь пакетууд огт хүрэх эсэхийг түүний өөрийн хүснэгт шийддэг. Нэг утсан дээрх хоёр хост аль чиглэл хүрч болох талаар санал зөрөх боломжтой.

Таамаглал хоёр газарт эвдэрнэ. Бодлогод суурилсан маршрутлалтын дүрэм үндсэн хүснэгтийг харахаас өмнө өгөгдмөл нь туннель рүү заасан хүснэгт рүү трафик явуулж болно. Түгжих эсвэл kill switch функцтэй VPN клиент нь маршрутлалтын хүснэгт юу ч гэсэн туннельд орохгүй трафикийг блоклож болно.

Маршрутлагдсан удирдлагын VLAN-ууд нь нөгөө тохиолдол. Хэрэв администратор локал чиглүүлэгчийн ард 192.168.50.0/24 дээр сууж байвал серверт тэр префиксэд 192.168.10.1-ээр дамжсан тодорхой маршрут хэрэгтэй бөгөөд тэр маршрут дахин холбогдолтыг даван туулах ёстой. Онцгой тохиолдлыг удирдлагын префиксэд л үлдээ; хувийн мужуудад өргөн онцгой тохиолдол туннелийн зорилгыг устгана.

Галт хананы онцгой тохиолдлыг дүрмийн адил нарийн болго

Хэрэв хост галт хана ажиллуулдаг бол SSH-ийг зөвхөн удирдлагын эх сурвалжаас, зөвхөн LAN интерфейс дээр зөвшөөр. 22 портыг хаанаас ч зөвшөөрдөг дүрэм шаардлагаас өргөн бөгөөд хяналт шалгалтад зөвтгөхөд хэцүү. nftables хост дээр дүрэм интерфейс, эх сурвалж таарсан оролтын гинжид багтана; iptables хост дээр түүнтэй адилтгах нь -i ба -s дээрх хоёр тохирлын хос юм. Дүрэмд түүнд үйлчилдэг администраторын бүлгийг тайлбар болгон бич, дараагийн аудит 22 порт яагаад нээлттэй байгааг таамаглах шаардлагагүй болно.

VPN клиентийн өөрийн шүүлтүүрийг ч шалга. Зарим клиентууд зохион бүтээлтээрээ локал трафикийг хаясан дүрмийг суулгадаг бөгөөд клиентийн түвшний хаялтын дээрх зөв галт хананы дүрэм юу ч өөрчлөхгүй. Хостын галт ханыг засахаас өмнө клиентийн тохиргоог унш, учир нь дараалан хоёр шүүлтүүр аль ч юмтай төстэй бус эвдрэл үүсгэдэг.

Хоёр төлөвийг шалга

Туршилтыг хоёр удаа хий: нэг удаа туннель холбогдсон, нэг удаа салгагдсан үед. Төлөв бүрт сонсогч, маршрут, администраторын машинаас бодит SSH нэвтрэлтийг батал. Туннель өргөгдсөн үед л ажилладаг зам нь локал удирдлагын зам биш; энэ нь тохиолдлын зүйл.

Дараа нь SSH сесс нээлттэй үед туннелийг дахин ачаал. Амьд үлдсэн сесс маршрутлалт тогтвортой гэдгийг нотолно; унасан сесс клиент дахин холбогдох үед маршрут эсвэл шүүлтүүрийг дахин бичиж байгааг хэлнэ, үүнийг ослын өмнө мэдэх нь ослын үеийнхээс дээр.

Туршилт хийсэн эх хаягаа бич, учир нь 192.168.10.50-д зориулж бичсэн дүрэм администраторын зөөврийн компьютер өөр дэд сүлжээнд шилжихэд чимээгүйхэн бүтэлгүйтдэг.

Сэргээх замыг runbook-д бич

Гадагш чиглэсэн VPN локал замыг эвдвэл юу болохыг одоо шийд. Консолын хандалт, хоёр дахь удирдлагын хаяг эсвэл клиентийг зогсоох баримтжуулсан журам — бүгд хууль ёсны хариулт бөгөөд аль нь ч байсан нэвтрэх шаардлагатай мөчид асуудлыг илрүүлснээс дээр. Хэрэв сервер алслагдсан бол локал зам байхгүй бөгөөд зөв шийдэл нь нээлттэй нийтийн порт биш, харин тусдаа зөвшөөрөгдсөн алсын хандалтын маршрут эсвэл бастион юм.

Баримт бичигт хоёр үүргийг тусад нь барь: ойролцоох администраторт зориулсан локал SSH, аппликейшны трафикт зориулсан гадагш чиглэсэн туннель. Эдгээр үүрэг бичигдсэн үед аль нэгэнд нь ирээдүйд гарсан өөрчлөлтийг шалгах тодорхой газар бий болж, дараагийн хүн VPN-той сервер яагаад одоо ч LAN хаягаараа хариулдгийг дахин нээх шаардлагагүй.