Żomm SSH lokali meta l-host iħaddem VPN li toħroġ

Server Linux żgħir iħaddem VPN li toħroġ għall-applikazzjoni li jospita, u l-amministratur għadu jrid jilħaqha permezz ta' SSH mid-desk ta' ħdejh. Din hija rekwiżit raġonevoli, u normalment ma teħtieġx la port forwarding, la indirizz tal-fornitur u lanqas toqba fit-tunnel. Dak li jeħtieġ huwa mogħdija ta' amministrazzjoni mfassla apposta minflok werrieta minn dak li għamel il-klijent tal-VPN mat-tabella tar-routing.

Il-passi hawn taħt jassumu li l-amministratur qiegħed fuq l-istess LAN.L-amministrazzjoni mill-bogħod hija problema oħra b'tweġiba oħra.

Ixxekkel SSH mal-indirizz li jużaw l-amministraturi

Ibda mil-listener.ss -ltnp | grep :22 juri ma' xiex huwa marbut sshd, u listener fuq 0.0.0.0 jaċċetta konnessjonijiet minn kull interface, inkluż it-tunnel. Li torbot mal-indirizz tal-LAN huwa iżjed dejjaq u jagħmel il-ħsieb viżibbli:ListenAddress 192.168.10.20 ġewwa sshd_config, segwit minn test tal-konfigurazzjoni u reload. Żball tat-tipa f'dak l-indirizz ikun iżjed viżibbli minn wildcard, għax sshd jirrifjuta jibda meta l-indirizz ma jkunx jeżisti.

Żomm il-verifika tal-key tal-host u l-awtentikazzjoni għal kull utent eżattament kif inhuma. „Hija biss in-netwerk lokali” mhijiex metodu ta' awtentikazzjoni, u kanal ta' amministrazzjoni li jaqbeż il-verifika tal-key għax ir-rotta qasira huwa kanal ta' amministrazzjoni li qiegħed jistenna l-abbuż. Riżerva DHCP jew indirizz statiku tagħmel il-mira prevedibbli mingħajr ma tagħmilha l-identità pubblika tas-server.

Żomm ir-rotta tal-LAN barra mit-tunnel

Host b'indirizz fuq 192.168.10.0/24 għandu rotta konnessa għal dak il-prefiss, u rotta iżjed speċifika tegħleb il-predefinita tal-VPN fl-istess tabella. Għalhekk SSH lokali spiss ikompli jaħdem waħdu meta t-tunnel tiela'. Ivverifika dan minflok tassumi:ip route get 192.168.10.50 isemmi l-interface u l-indirizz tas-sors li kien juża l-kernel, u t-tweġiba għandha tkun il-mezz tal-LAN, mhux it-tunnel. Irrepeti l-verifika mill-magna tal-amministratur ukoll, għax it-tabella tiegħu stess tiddetermina jekk il-pakki jaslux qatt. Żewġ hosts fuq l-istess wajer jistgħu ma jaqblux dwar liema direzzjoni hija aċċessibbli.

L-assunzjoni tinqasam f'żewġ postijiet. Regola ta' routing ibbażata fuq il-politika tista' tibgħat it-traffiku lejn tabella li l-predefinita tagħha tindika fit-tunnel qabel ma tiġi kkonsultata t-tabella prinċipali. Klijent tal-VPN b'funzjoni ta' lock-down jew kill switch jista' wkoll jimblokka traffiku li ma jidħolx fit-tunnel, irrispettivament minn dak li tgħid it-tabella tar-routing.

Il-VLANs tal-amministrazzjoni routed huma l-każ l-ieħor. Jekk l-amministratur qiegħed fuq 192.168.50.0/24 wara r-router lokali, is-server jeħtieġ rotta espliċita għal dak il-prefiss permezz ta' 192.168.10.1, u dik ir-rotta trid tissopravivi għal konnessjoni mill-ġdid. Żomm l-eċċezzjoni speċifika għall-prefiss tal-amministrazzjoni; eċċezzjoni wiesgħa għall-firxiet privati tħassar l-iskop tat-tunnel.

Agħmel l-eċċezzjoni tal-firewall dejqa daqs ir-regola

Jekk il-host iħaddem firewall, ippermetti SSH biss mis-sors tal-amministrazzjoni u biss fuq l-interface tal-LAN. Regola li tippermetti l-port 22 minn kullimkien hija iżjed wiesgħa mir-rekwiżit u iżjed diffiċli tiġġustifikata f'reviżjoni. Fuq host nftables ir-regola tappartjeni lill-katina tal-input bl-interface u s-sors imqabbla; fuq host iptables l-ekwivalenti hija par ta' qbil fuq -i u -s. Ikkummenta r-regola bil-grupp tal-amministraturi li taqdi, biex l-awditjar li jmiss ma jkollux jaqta' x'jagħmel għaliex il-port 22 huwa miftuħ.

Iċċekkja wkoll il-filter tal-klijent tal-VPN innifsu. Xi klijenti jinstallaw regoli li jwarrbu t-traffiku lokali b'disinn, u regola tal-firewall korretta fuq drop fil-livell tal-klijent ma tbiddel xejn. Aqra l-konfigurazzjoni tal-klijent qabel ma timmodifika l-firewall tal-host, għax żewġ filtri f'serje jipproduċu ħsara li ma tixbah lil ħadd minnhom.

Ittestja ż-żewġ stati

Mexxi t-test darbtejn: darba bit-tunnel konness u darba skonness. F'kull stat, ikkonferma l-listener, ir-rotta u login SSH reali mill-magna tal-amministratur. Mogħdija li taħdem biss waqt li t-tunnel hija 'l fuq mhijiex mogħdija ta' amministrazzjoni lokali; hija koinċidenza.

Imbagħad erġa' ibda t-tunnel waqt li sessjoni SSH hija miftuħa. Sessjoni li tibqa' ħajja tipprova li r-routing huwa stabbli; sessjoni li taqa' tgħidlek li l-klijent qiegħed jerġa' jikteb rotot jew filtri meta jerġa' jikkonnettja, li jiswa li tkun taf qabel inċident u mhux waqt wieħed.

Irreġistra l-indirizz tas-sors li ttestjajt minnu, għax regola miktuba għal 192.168.10.50 tfalli bil-kwiet meta l-laptop tal-amministratur jiċċaqlaq għal subnet ieħor.

Ikteb il-mogħdija tal-irkupru fir-runbook

Iddeċiedi issa x'jiġri jekk il-VPN li toħroġ tkisser il-mogħdija lokali. Aċċess għall-console, tieni indirizz tal-amministrazzjoni jew proċedura dokumentata biex jitwaqqaf il-klijent huma kollha tweġibiet leġittimi, u kwalunkwe waħda minnhom hija aħjar milli tiskopri l-problema fil-mument li jkollok bżonn tidħol. Jekk is-server huwa mill-bogħod, il-mogħdija lokali ma teżistix, u d-disinn korrett huwa rotta tal-aċċess mill-bogħod approvata u separata jew bastion minflok port pubbliku espost.

Żomm iż-żewġ rwoli separati fid-dokumentazzjoni: SSH lokali għall-amministratur li jinsab fil-qrib, u t-tunnel li toħroġ għat-traffiku tal-applikazzjoni. Meta dawk ir-rwoli jinkitbu, bidla fil-futur f'waħda minnhom ikollha post ovvju fejn tiġi ċċekkjata, u l-persuna li jmiss ma jkollhiex tiskopri mill-ġdid għaliex server b'VPN għadu jwieġeb fl-indirizz tal-LAN tiegħu.