VPN-ээр алсын SSH: туннель юу хийдэггүй вэ
VPN нь SSH серверийг хүртээмжтэй болгодог бөгөөд үүнээс өөр зүйл биш. Гурван нөхцөл тохирох эсэхийг шийдэж, алдааны үе шат аль давхарга буруутайг харуулна.
VPN нь SSH серверт хувийн зам өгч, 22-р порт дээрх нийтийн сонсогчийн хэрэгцээг арилгадаг. Энэ нь хостны баталгаажуулалт хийхгүй, хэрэглэгчийг зөвшөөрөхгүй, аль бүртгэл нэвтрэх боломжтойг шийдэхгүй. Энэ нь SSH-ийн ажил хэвээр байна. VPN нь серверт хүрэх зөв арга мөн эсэх нь гурван нөхцөлөөс хамаарч, туннель нь боломжит хариултуудын зөвхөн нэг юм.
Туннель юу өөрчилдөг, SSH юу шийдсээр байна
Туннель нь хүртээмжийг өөрчилдөг: аль хаягууд руу, хаанаас хүрч болохыг. TCP холболт ирсний дараа юу болохыг өөрчлөхгүй, тэнд сервер хостын түлхүүрийг танилцуулж, хэрэглэгчийн таних тэмдгийг асуудаг.
Хоёр давхаргыг толгойд ч, баримт бичигт ч тусдаа байлга. VPN-д нэвтрэх нь хэн сүлжээг ашиглаж болохыг нотолдог. Энэ нь зорилтот дээр ямар бүртгэл байгаа тухай юу ч хэлэхгүй бөгөөд хүрч болох бүх машин руу нэвтрэх зөвшөөрөл биш.
Алдааны горимууд ч тусдаа бөгөөд энэ нь ослын үед тусгаарлалтыг ашигтай болгодог.
Хандалтын загварыг тодорхойлдог гурван нөхцөл
Нэгд, сервер таны сүлжээний гаднах хүмүүст хүртээмжтэй байх шаардлагатай юу? Хэрэв үгүй бол хувийн зам дээр бастион эсвэл тор нэмэх нь жижиг загвар. Хоёрт, хэрэглэгчдийн бүлэг VPN клиентийг үнэхээр ажиллуулж чадах уу, хязгаарлалттай удирдлагатай төхөөрөмж дээрх хүмүүсийг оролцуулан?
Гуравт, танд үйлчилгээ тус бүрийн хяналт хэрэгтэй юу эсвэл хэрэглэгч тус бүрийн хяналт хэрэгтэй юу? VPN сүлжээний хүртээмж өгдөг; SSH бүртгэлийн хандалт өгдөг. Гэрээт ажилтан нэг хост руу хүрч, өөр юу ч хүрэхгүй байх шаардлага бол энэ нь зөвшөөрлийн шаардлага бөгөөд зөвхөн туннель үүнийг илэрхийлж чадахгүй.
Тэр гурван асуултад хариул, загвар өөрөө сонгогдоно. Алгасвал клиентийн нэвтрүүлэлтээс зайлсхийх гэж SSH-ийг олон нийтэд ил гаргах болно.
SSH-ийг буруутгахаас өмнө хувийн замыг батал
Зөвшөөрөгдсөн VPN-д холбогдож, зорилтын баримтжуулсан хувийн нэр эсвэл хаягийг ашигла. Дараа нь сонгосон маршрут, гарцын зөвшөөрөл, клиент рүү буцах замыг шалга. Зөв шийдэгддэг нэр нь хаяг зориулсан туннелийг авдаг гэдгийг нотлохгүй, учир нь давхцаж буй локал болон алсын префиксүүд хүсэлтийг огт өөр газар руу илгээж болно. Энэ ялгааг runbook-д бичих нь үнэ цэнэтэй.
Хэрэв холболт хэзээ ч ирэхгүй бол, сервер таны хүлээж буй интерфейс дээр сонсож байгааг болон түүний хостын галт хана бодитоор харж буй эх сурвалжийг зөвшөөрч байгааг батал. Гарцын NAT тэр эх сурвалжийг дахин бичиж болох тул клиентийн туннелийн хаягт зориулж бичсэн зөвшөөрлийн жагсаалт хэзээ ч таарахгүй байж болно.
Тэр зөрүү нь VPN дээрх хамгийн нийтлэг өөрөө үүсгэсэн SSH алдаа.
Нэгдсэн алдаа биш, алдааны үе шатыг унш
Гурван үе шат гурван өөр мессеж үүсгэдэг бөгөөд тэдгээрийн зөвхөн нэг нь итгэмжлэлийн тухай.
| Stage | What you see | What it points at |
|---|---|---|
| Before the connection | Timeout, no route | Tunnel, route or gateway permission |
| Connection refused | Immediate reset | Nothing listening, or a host firewall rejecting |
| Authentication | Permission denied after a prompt | User, key or server policy |
VPN болон SSH итгэмжлэлийг хамт дахин тохируулахын оронд яг алдаа болон серверийн өөрийн логыг ашигла. Хоёуланг дахин тохируулах нь таван минутын оношилгоог хоёр өдрийн таних тэмдгийн осол болгох зам.
Дэлгэрэнгүй гаралт та аль үе шатанд хүрснийг харуулна:
ssh -vv [email protected]Хостын түлхүүр, зөвшөөрлийг бүтэн хадгал
Хостын түлхүүрийг зориулсан итгэмжлэгдсэн процессоор баталгаажуул, ялангуяа серверийг сольсны дараа. Гэнэтийн өөрчлөгдсөн түлхүүрийн анхааруулга нь VPN холбогдсон гэсэн шалтгаанаар үл тоомсорлож болохгүй цорын ганц мессеж, учир нь хувийн туннель очих газрыг таны бодож буй машин болгодоггүй. Хурууны хээг холболтоос хамааралгүй итгэдэг эх сурвалжтай харьцуул.
Серверийн талд бүртгэл зөвшөөрөгдсөн, таны тохируулсан баталгаажуулалтын арга нь санал болгож буй арга мөн эсэхийг батал. Байгаа боловч үл тоомсорлогдсон түлхүүр нь ихэвчлэн сүлжээний бус, зөвшөөрөл эсвэл тохиргооны асуудал.
Үйлчилгээний хандалтыг шаардлагатай таних тэмдгүүдээр хязгаарлаж, сүлжээний өөрчлөлтөд зориулсан зөвшөөрөгдсөн сэргээх замыг хадгал.