SSH бастион уу, шууд VPN хандалт уу: аль бодлого үйлчилдэг вэ?

VPN хэрэглэгчид үсрэх хост туулахгүйгээр серверт хүрч болох эсэх нь сүлжээний хувцас өмссөн бодлогын асуудал юм. Хэрэв бастион заавал хийх хяналтыг гүйцэтгэдэг бол VPN-д нэгдэх нь түүн рүү хөтлөх ёстой, тойрч гарах ёсгүй. Хэрэв үсрэх хост өмнө нь хүрэх боломжгүй байсан сегментийг л гүүрдэж байсан бол нарийн шууд зам шударга орлуулалт байж болно. Доорх шалгалтуудыг дарааллаар гүйцэтгэж, эхний бүтэлгүйтсэн дээр зогсоно, учир нь тэр хариулт үлдсэнийг шийднэ.

Бастион бодитоор юуг хянадаг талаар шалгана уу

Дизайны баримт бичгийн диаграмаас биш, одоогийн байдлын талаарх нотолгооноос эхэл. Зорилтын SSH тохиргоо болон пакетын шүүлтүүрийг хар: хэрэв орж ирэх 22 порт зөвхөн бастионы хаягаас хүлээн авдаг бол үсрэх хост нь тулгасан хяналт юм. Хэрэв мөн порт бүх VPN сангаас холболт хүлээн авдаг бол бастион нь зүгээр л тав тух байсан бөгөөд хэрэгжилт огт өөр газар амьдардаг. Тасалбарын түүх ихэвчлэн хоёрын аль нь эхлээд байсныг баталдаг.

Бастионы өгдөг хяналтыг нэрлэсэн нэг өгүүлбэрээр дүгнэлтийг хэл: зорьсон газрын хязгаарлалт, хоёр дахь баталгаажуулалтын алхам, сессийн бичлэг, эсвэл ослын үеийн үйл ажиллагааны харагдах байдал. Яг тэр өгүүлбэрийг орлуулах бодлого хадгалах ёстой.

Зорилт замуудыг ялгаж чадах эсэхийг шалгана уу

Эх сурвалжийн хаягийн дүрэм нь хоёр зам өөр өөр эх сурвалжийн хаягаар ирж байх хугацаанд л ажиллана. Серверийн дэд сүлжээ рүү трафикийг маск хийдэг VPN гарц тэр ялгааг арилгадаг, тэгэхээр 22 порт руу хийх холболт бүр гарцаас ирж байгаа мэт харагдана. Шалгалт нь зорилт дээр локал бөгөөд хором л авна: тогтоосон SSH сессүүдийг жагсааж, тус бүрийн хамтрагчийн хаягийг унш.

Хоёр зам нэг хаяг руу нийлэх үед ялгааг эрт хийх ёстой: VPN илгээхийг зөвшөөрсөн зорьсон газрууд болон гарцын өөрийн шүүлтүүрээр. Ийм нөхцөлд зорилт дээр дүрэм нэмэх нь ирж буй зүйлийг өөрчлөхгүйгээр хил хязгаарын хуурмаг байдлыг бий болгоно.

Бичлэг бүр бодитоор юу хадгалдагийг шалгана уу

Гурван өөр бүртгэл гурван өөр үйл явдлыг дүрсэлдэг бөгөөд аль нь ч нөгөөг орлохгүй. VPN-ийн холболтын бичлэг нь нэг таних мэдээлэл сүлжээний хүрээнд орсныг харуулна. Бастионы дамжуулалтын бичлэг нь түүнээс зорьсон газар, порт руу гарч буй TCP сувгийг харуулна. Зорилтын баталгаажуулалтын бүртгэл нь бүртгэл SSH-ээр нэвтэрснийг харуулна. Тэдгээрийг хамт уншиж байж цаг хугацааны шугам үүснэ; ганцыг нь уншвал таамаг л үүснэ.

Эдгээр бичлэгийн аль нь ч клиент ба зорилтын хоорондын шифрлэгдсэн сессийн дотор юу болсныг агуулаагүй. Хэрэв командын түвшний хяналт шаардлага бол түүнд өөрийн гэсэн өгөгдөл боловсруулах дүрэм бүхий, зориуд байрлуулсан бичлэгийн механизм хэрэгтэй. Үүнийг үсрэх хостын бүртгэлээс хүлээх нь аудитын цоорхой чухал болох хүртэл далд байх арга юм.

Бодлого бодитоор хаана хэрэгждэг вэ, шалгана уу

ProxyJump шиг клиентийн тохиргоо нь хүсэлт бөгөөд хязгаарлалт биш. Зорьсон газарт хүрэх боломжтой үед OpenSSH шууд холболтыг баяртайгаар нээнэ, тиймээс зөөврийн компьютер дээрх тохиргооны файлууд санаа бодлыг дүрсэлдэг бол галт хана үр дүнг шийднэ. Хэрэгжилт нь VPN гарцын зөвшөөрөгдсөн зорьсон газрууд болон зорилтын өөрийн хандалтын дүрэмд хамаарах бөгөөд хэрэглэгч аль нэгийг нь ч засах боломжгүй. Үүний зэрэгцээ өөр замуудыг шалга: хоёр дахь интерфэйс, нийтийн сонсогч, mesh давхарга эсвэл хуучин сайт хоорондын туннель тус бүр саяхан хаасан товчлолыг сэргээж чадна.

Гэсэн хэдий ч ProxyJump-ийг тохируул, учир нь энэ нь зөвшөөрөгдсөн маршрутыг хялбар болгож, өдөр тутмын ажил онцгой тохиолдол үүсгэхээс сэргийлнэ. Итгэхээс өмнө клиент бодитоор юуг шийддэгийг батал.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Зориудын шууд оролдлогоор баталгаажуул

Хэзээ ч туршигдаагүй бодлого бол итгэл найдвар. VPN-д холбогдсон клиентээс одоо татгалзах ёстой замыг туршиж үз, дараа нь зөвшөөрөгдсөн замыг туршиж үз, хоёр үр дүнг хадгал. Татгалзсан оролдлого нь өөрчлөлт хүчин төгөлдөр болсны нотолгоо юм.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Цэвэр үр дүн нь зорьсон хаяг руу татгалзсан эсвэл хугацаа хэтэрсэн шууд холболт мэт харагдах бөгөөд дараа нь үсрэх хост руу амжилттай нэвтрэх, зорилтын талд дэмжигдсэн эх сурвалжийг нэрлэсэн баталгаажуулалтын бичлэг гарна. Өөр юу ч байсан хил хязгаар одоо ч сүвэрхэг гэсэн үг, баримт бичиг юу ч гэсэн. Огноо, өөрчилсөн дүрэм, хоёр үр дүнг тэмдэглээд, дараа нь сэргээх замд эзэн болон хугацаа дуусах огноог өг яаралтай хандалт чимээгүйгээр өдөр тутмын маршрут болохгүйн тулд.