Bastion SSH atau akses VPN terus: dasar mana yang terpakai?

Sama ada pengguna VPN boleh mencapai pelayan tanpa melintasi hos lompat ialah persoalan dasar yang memakai pakaian rangkaian. Jika bastion menjalankan kawalan yang diwajibkan, menyertai VPN mesti menuju kepadanya dan bukan memutarnya. Jika hos lompat hanya menjambatani segmen yang dahulunya tidak dapat dicapai, laluan terus yang sempit boleh menjadi pengganti yang jujur. Lakukan semakan di bawah mengikut urutan dan berhenti pada yang pertama gagal, kerana jawapan itulah yang menentukan selebihnya.

Semak apa yang sebenarnya dikawal bastion

Mulakan dengan bukti tentang keadaan sekarang, bukan gambar rajah daripada dokumen reka bentuk. Lihat konfigurasi SSH dan penapis paket sasaran: jika port 22 masuk hanya diterima daripada alamat bastion, hos lompat ialah kawalan yang dipaksa. Jika port yang sama menerima sambungan daripada seluruh kumpulan VPN, bastion hanyalah kemudahan dan penguatkuasaan tinggal di tempat yang sama sekali berbeza. Sejarah tiket biasanya mengesahkan yang mana antara kedua-duanya wujud dahulu.

Nyatakan penemuan dalam satu ayat yang menamakan kawalan yang disediakan bastion: sekatan destinasi, langkah pengesahan kedua, rakaman sesi atau keterlihatan operasi semasa insiden. Ayat itulah yang mesti dipelihara oleh dasar pengganti.

Semak sama ada sasaran dapat membezakan laluan

Peraturan alamat sumber hanya berfungsi selagi kedua-dua laluan tiba dengan alamat sumber yang berbeza. Get laluan VPN yang menyamar trafik ke subrangkaian pelayan memadamkan perbezaan itu, dan setiap sambungan ke port 22 kemudian kelihatan datang dari get laluan. Semakan itu setempat pada sasaran dan mengambil masa sekejap: senaraikan sesi SSH yang terbentuk dan baca alamat rakan untuk setiap satu.

Apabila kedua-dua laluan runtuh menjadi satu alamat, perbezaan mesti dibuat lebih awal, melalui destinasi yang dibenarkan dihantar oleh VPN dan melalui penapis get laluan itu sendiri. Menambah peraturan pada sasaran dalam keadaan itu mencipta ilusi sempadan tanpa mengubah apa yang tiba.

Semak apa yang sebenarnya disimpan setiap rekod

Tiga log berbeza menerangkan tiga peristiwa berbeza, dan tiada satu pun menggantikan yang lain. Rekod sambungan VPN menunjukkan bahawa satu identiti memasuki lingkungan rangkaian. Rekod pemajuan bastion menunjukkan saluran TCP yang meninggalkannya menuju destinasi dan port. Log pengesahan sasaran menunjukkan bahawa akaun masuk melalui SSH. Membacanya bersama-sama itulah yang menghasilkan garis masa; membaca satu sahaja menghasilkan agakan.

Tiada satu pun rekod itu mengandungi apa yang berlaku di dalam sesi tersulit antara klien dan sasaran. Jika semakan peringkat arahan menjadi keperluan, ia memerlukan mekanisme rakaman yang dipasang secara sengaja dengan peraturan pengendalian datanya sendiri. Mengharapkannya daripada log hos lompat ialah cara jurang audit kekal tersembunyi sehingga ia mula penting.

Semak di mana dasar sebenarnya dikuatkuasakan

Tetapan klien seperti ProxyJump ialah permintaan, bukan sekatan. OpenSSH akan membuka sambungan terus dengan senang hati apabila sasaran dapat dicapai, jadi fail konfigurasi pada komputer riba menerangkan niat manakala tembok api menentukan hasilnya. Penguatkuasaan terletak pada destinasi yang dibenarkan oleh get laluan VPN dan pada peraturan akses sasaran itu sendiri, dan pengguna tidak boleh menyunting kedua-duanya. Audit laluan alternatif pada masa yang sama: antara muka kedua, pendengar awam, lapisan mesh atau terowong lama antara tapak masing-masing boleh memulihkan jalan pintas yang baru anda tutup.

Konfigurasikan ProxyJump juga, kerana ia menjadikan laluan yang diluluskan sebagai yang mudah dan menghalang kerja rutin daripada menghasilkan pengecualian. Sahkan apa yang sebenarnya diselesaikan oleh klien sebelum mempercayainya.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Sahkan dengan percubaan terus yang disengajakan

Dasar yang tidak pernah diuji hanyalah harapan. Dari klien yang bersambung ke VPN, cuba laluan yang sepatutnya kini ditolak, kemudian cuba laluan yang diluluskan, dan simpan kedua-dua hasil. Percubaan yang ditolak itulah bukti bahawa perubahan itu berkuat kuasa.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Hasil yang bersih kelihatan seperti sambungan terus yang ditolak atau tamat masa ke alamat sasaran, diikuti dengan log masuk berjaya ke hos lompat dan entri pengesahan di sebelah sasaran yang menamakan sumber yang disokong. Apa-apa yang lain bermakna sempadan itu masih berliang, walau apa pun kata dokumentasi. Catatkan tarikh, peraturan yang diubah dan kedua-dua hasil, kemudian berikan pemilik dan tarikh luput kepada laluan pemulihan supaya akses kecemasan tidak diam-diam menjadi laluan harian.