SSH mill-bogħod fuq VPN: x'ma tagħmelx il-mina

VPN tagħti lis-server SSH mogħdija privata u tneħħi l-ħtieġa ta' semmiegħ pubbliku fuq il-port 22. Ma tawtentikax lill-host, ma tawtorizzax lill-utent u ma tiddeċidix liema kontijiet jistgħu jidħlu. Dan jibqa' xogħol SSH. Jekk VPN hijiex il-mod tajjeb biex tasal għas-server jiddependi minn tliet kundizzjonijiet, u l-mina hija biss waħda mit-tweġibiet possibbli.

X'tibdel il-mina u x'għadha tiddeċiedi SSH

Il-mina tbiddel l-aċċessibbiltà: liema indirizzi jistgħu jintlaħqu, u minn fejn. Ma tbiddilx dak li jiġri wara li tasal il-konnessjoni TCP, fejn is-server jippreżenta ċavetta tal-host u jitlob identità tal-utent.

Żomm iż-żewġ saffi separati f'moħħok u fid-dokumentazzjoni tiegħek. Id-dħul fil-VPN juri min jista' juża n-netwerk. Ma jgħid xejn dwar liema kontijiet jeżistu fil-mira, u mhuwiex permess biex tidħol f'kull magna aċċessibbli.

Il-modi tal-falliment huma separati wkoll, u dan huwa dak li jagħmel is-separazzjoni utli waqt inċident.

Tliet kundizzjonijiet li jiddeċiedu l-mudell ta' aċċess

L-ewwel, is-server jeħtieġ li jkun aċċessibbli minn nies barra n-netwerk tiegħek? Jekk le, mogħdija privata flimkien ma' bastjun jew mesh hija d-disinn iżgħar. It-tieni, il-popolazzjoni tal-klijenti tista' tassew tmexxi l-klijent VPN, inkluż dawk fuq apparati ġestiti b'restrizzjonijiet?

It-tielet, għandek bżonn kontroll għal kull servizz jew kontroll għal kull utent? VPN tagħti aċċess għan-netwerk; SSH jagħti aċċess għall-kont. Jekk ir-rekwiżit huwa li kuntrattur jasal għal host wieħed u xejn aktar, dan huwa rekwiżit ta' awtorizzazzjoni u l-mina waħedha ma tistax tesprimih.

Wieġeb lil dawn it-tlieta u l-mudell jagħżel lilu nnifsu. Aqbeżhom u fl-aħħar tesponi SSH pubblikament biex tevita l-varar tal-klijent.

Ivverifika l-mogħdija privata qabel ma tagħti tort lil SSH

Qabbad il-VPN approvata u uża l-isem jew l-indirizz privat dokumentat tal-mira. Imbagħad iċċekkja r-rotta magħżula, il-permess tal-gateway u l-mogħdija lura lejn il-klijent. Isem li jiġi riżolt b'mod korrett mhuwiex prova li l-indirizz jieħu l-mina maħsuba, għax prefissi lokali u remot li jikkoinċidu jistgħu jibagħtu t-talba x'imkien ieħor għal kollox. Din id-distinzjoni tiswa li tinkiteb fir-runbook.

Jekk il-konnessjoni qatt ma tasal, ivverifika li s-server qed jisma' fuq l-interface li tistenna u li l-firewall tal-host tiegħu jippermetti s-sors li tassew jara. NAT tal-gateway jista' jerġa' jikteb dak is-sors, għalhekk lista ta' permessi miktuba għall-indirizz tal-mina tal-klijent tista' qatt ma taqbel.

Dik id-diskrepanza hija l-aktar falliment SSH komuni kkawżat minnha nnifisha fuq VPN.

Aqra l-istadju tal-falliment, mhux l-iżball magħqud

Tliet stadji jipproduċu tliet messaġġi differenti, u wieħed biss minnhom dwar il-kredenzjali.

Uża l-iżball eżatt u l-log tas-server innifsu minflok ma tirrisettja l-kredenzjali tal-VPN u SSH flimkien. Ir-risettjar tat-tnejn huwa l-mod kif dijanjosi ta' ħames minuti ssir inċident ta' identità ta' jumejn.

L-output dettaljat juri liema stadju wasalt:

ssh -vv [email protected]

Żomm iċ-ċwievet tal-host u l-awtorizzazzjoni

Ivvalida ċ-ċavetta tal-host permezz tal-proċess fiduċjuż maħsub, speċjalment wara sostituzzjoni tas-server. Twissija mhux mistennija ta' ċavetta mibdula hija l-unika messaġġ li m'għandekx tiskarta biss għax il-VPN qabbdet, għax mina privata ma tagħmilx id-destinazzjoni l-magna li taħseb. Iċċekkja l-impronta kontra sors li tafdah indipendentement mill-konnessjoni.

Fuq in-naħa tas-server, ikkonferma li l-kont huwa awtorizzat u li l-metodu ta' awtentikazzjoni li kkonfigurajt huwa dak offrut. Ċavetta li tinsab iżda tiġi injorata normalment hija problema ta' permessi jew konfigurazzjoni, mhux tan-netwerk.

Illimita l-aċċess għas-servizzi għall-identitajiet meħtieġa u żomm mogħdija ta' rkupru awtorizzata għall-bidliet fin-netwerk.