rsync melalui VPN: port daemon 873 berbanding mod SSH

Membenarkan TCP 873 pada antara muka terowong tidak menolak rsync melalui OpenVPN, dan ia juga tidak membuat hujung jauh menerima modul itu. Terowong membawa sambungan dalaman yang peraturan protokol dan destinasinya kekal tepat seperti sebelumnya. Jadi soalan pertama bukanlah port mana yang hendak dibuka, tetapi jenis sambungan yang dibuat oleh rsync. Semua di bawah menganggap terowong sudah aktif dan hanya perkhidmatan dalaman masih diragui.

Tentukan sambungan yang sebenarnya dibuat oleh rsync

Argumen jauh dalam arahan biasanya menjawab soalan itu sebelum sebarang perubahan pada firewall. Dua titik bertindih berganda atau skema URL memilih daemon, manakala satu titik bertindih selepas nama hos memilih cangkerang jauh. Baca argumen yang benar-benar anda jalankan, bukan yang ada dalam contoh dokumentasi.

Pilihan cangkerang jauh yang jelas boleh mengubah jawapan sekali lagi, kerana ia memberitahu rsync program mana yang perlu dimulakan untuk pengangkutan. Baca keseluruhan baris arahan, termasuk skrip pembalut yang diwarisi, bukan hanya bahagian hos.

Mod daemon: alamat pengikatan, modul dan port

Dalam sintaks daemon, segmen laluan menamakan modul yang dikonfigurasikan, bukan direktori pada cakera. Kata laluan modul hanya diperiksa selepas sambungan diterima, dan modul juga boleh menjadi baca-sahaja atau tersembunyi daripada senarai. Urutan itu penting apabila anda membaca ralat, kerana sambungan yang ditolak dan modul yang ditolak ialah kegagalan pada dua peringkat berbeza. Kedua-dua mesej itu tidak memberitahu anda apa-apa tentang terowong itu sendiri.

Daemon kendiri boleh dipinkan pada alamat terowong dalam fail konfigurasinya, yang menjauhkannya daripada antara muka awam tanpa sebarang peraturan firewall. Nilai itu mesti wujud apabila daemon mengikat, dan pendengar yang diaktifkan oleh soket atau diurus oleh inetd mungkin mengabaikannya sepenuhnya.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Kemudian uji terhadap alamat peribadi dan bukan nama awam. Nama hos awam diselesaikan kepada alamat WAN dan melalui laluan berbeza, walaupun satu mesin menjawab kedua-duanya.

rsync --list-only rsync://10.44.0.1/archive/

Mod cangkerang jauh: SSH membawa pemindahan

Dengan satu titik bertindih, rsync memulakan program cangkerang jauh dan bertutur protokolnya melalui saluran itu, jadi satu-satunya perkhidmatan yang boleh dicapai ialah SSH pada mana-mana port yang didengar oleh pelayan. Daemon rsync tidak pernah berjalan, port 873 tidak relevan, dan keputusan akses menjadi keputusan akaun SSH. Laluan jauh kemudiannya ialah laluan sistem fail sebenar yang ditafsirkan oleh cangkerang di sebelah sana. Itulah sebabnya perubahan firewall yang menyasarkan 873 tidak melakukan apa-apa sama sekali untuk mod ini.

Reka bentuk itu memerlukan akaun yang dibenarkan dan pengesahan kunci hos, dan ia mewarisi dasar pengesahan SSH sendiri. Selalunya ini pilihan yang lebih baik apabila pemindahan perlu melintasi rangkaian yang tidak dipercayai, kerana penyulitan itu milik protokol yang dibina untuknya. Daemon dengan gesaan kata laluan bukan perkara yang sama.

Buka hanya laluan yang anda pilih

Setelah mod ditetapkan, benarkan satu-satunya perkhidmatan dalaman pada satu-satunya antara muka yang membawa terowong. Hadkan peraturan mengikut antara muka, kolam sumber dan alamat destinasi supaya perubahan penafian lalai kemudian tidak dapat meluaskannya secara senyap. Semak susunan peraturan selepas itu, kerana peraturan yang membenarkan lebih awal dalam rantaian menjadikan peraturan sempit itu sekadar hiasan.

Jika daemon berjalan pada mesin di belakang get laluan VPN dan bukan pada get laluan itu sendiri, get laluan juga memerlukan laluan penghantaran dan sasaran memerlukan kebenaran serta laluan baliknya sendiri. Membuka port hanya pada get laluan menghasilkan sambungan yang diterima dan kemudian tidak pergi ke mana-mana.

Sahkan daripada klien dengan mod dan destinasi yang sama yang anda mahu gunakan dalam pengeluaran. Penyenaraian yang berjaya membuktikan pendengar, laluan dan peraturan secara serentak; tamat masa menunjuk kepada laluan, dan penolakan menunjuk kepada pendengar.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873