SSH maqlub għal apparat wieħed: semmiegħ loopback jew VPN bir-rotot?

L-apparat tiegħek jinsab wara NAT ta' operatur, jista' jiftaħ konnessjonijiet 'il barra, u jmexxi server SSH li ħadd ma jista' jasal għalih. It-talba li tasal normalment tinqas bħala "agħtih VPN", li hija waħda minn diversi tweġibiet. Qabel ma taċċettaha, iddeċiedi jekk għandekx bżonn port TCP amministrattiv wieħed jew mogħdija bir-rotot lejn subnet sħiħ, għax dawk huma proġetti differenti b'espożizzjoni differenti.

Tunell maqlub iwieġeb tajjeb għall-verżjoni dejqa. L-apparat iċempel lill-hub tiegħek, jitlob lill-hub jisma' fuq port loopback, u jgħaddi dak il-port lura lejn is-servizz SSH tiegħu stess. Imbagħad l-amministraturi jilħqu s-semmiegħ permezz tal-hub, mhux permezz tal-internet pubbliku.

Tliet kundizzjonijiet li jiddeċiedu l-għażla

Ikteb dawn qabel kwalunkwe konfigurazzjoni. Huma l-fruntiera bejn daħla amministrattiva limitata u estensjoni tan-netwerk, u li tħallathom hija l-mod kif tunell ta' ħames linji jsir netwerk ċatt mingħajr sid.

It-tielet ringiela hija dik li n-nies jargumentaw dwarha. Tunell għall-port SSH ta' apparat ma jqiegħedx il-ġirien tiegħu fuq in-netwerk tiegħek, u m'għandux isir jidher hekk permezz ta' katina ta' aktar trażmissjonijiet. Jekk il-ħtieġa hija verament il-LAN, għidha u iddisinja dik minflok.

Naħa tal-hub: kont relay limitat

Agħti lil kull apparat il-kont relay tiegħu stess b'aċċertament b'ċavetta pubblika u mingħajr sessjoni interattiva. Match blokka limitata għal dak il-kont iżżomm il-permess żgħir, u ċ-ċavetta privata tibqa' fuq l-apparat fejn hija xierqa.

Match User relay-dev-7
    AuthenticationMethods publickey
    PubkeyAuthentication yes
    AllowTcpForwarding remote
    PermitListen 127.0.0.1:21022
    GatewayPorts no
    MaxSessions 0
    PermitTTY no
    X11Forwarding no
    AllowAgentForwarding no

MaxSessions 0 hija l-linja interessanti. Tiċħad sessjonijiet tal-qoxra u tas-subsistemi filwaqt li għadha tippermetti t-trażmissjoni li l-apparat jeħtieġ, għalhekk ċavetta misruqa ma tistax tinbidel f'dħul interattiv. PermitListen tiffissa l-indirizz u l-port tas-semmiegħ fuq in-naħa tal-hub, u GatewayPorts no iżżommha fuq loopback minflok ma tiftaħha għan-netwerk li fih jinsab il-hub.

Ittestja l-konfigurazzjoni effettiva qabel ma terġa' tgħabbi, u żomm it-tieni sessjoni miftuħa waqt li tagħmel dan. Match blokka li tiġi applikata b'mod aċċidentali għal kulħadd, jew żball tipografiku f'isem għażla, hija l-mod klassiku biex tissakkar barra mill-kaxxa li qed issaħħaħ. Ibbla' l-konfigurazzjoni li qed taħdem u aqra l-għażliet mill-ġdid minflok ma tafda l-fajl li għadek ktibt. Innota li l-appoġġ tal-għażliet ivarja bejn il-binjiet, għalhekk linja aċċettata fi server aktar ġdid tista' sempliċement tiġi injorata minn wieħed eqdem.

Naħa tal-apparat: trażmissjoni li tfalli b'ħoss qawwi

L-apparat jiftaħ il-konnessjoni u jitlob is-semmiegħ. Iż-żewġ indirizzi fl-argument -R ifissru affarijiet differenti, u l-qari tagħhom mix-xellug għal-lemin huwa l-aktar mod mgħaġġel biex tiftakar liema hija liema.

ssh -NT \
    -o ExitOnForwardFailure=yes \
    -o ServerAliveInterval=30 \
    -o ServerAliveCountMax=3 \
    -R 127.0.0.1:21022:127.0.0.1:22 \
    [email protected]

Il-par tax-xellug huwa fejn il-hub għandu jisma'. Il-par tal-lemin huwa dak li l-apparat jikkonnettja miegħu meta tasal talba, solvuta min-naħa tal-apparat stess. Li tbiddilhom jipproduċi tunell li jogħla nadif u jgħaddi fil-post ħażin, li huwa agħar minn falliment.

ExitOnForwardFailure=yes iġġiegħel il-kmand joħroġ meta s-semmiegħ mitlub ma jistax jiġi stabbilit, għalhekk ċiklu ta' restart jgħidlek il-verità minflok ma jħalli sessjoni nofs taħdem. Ma jgħid xejn dwar jekk is-servizz SSH lokali huwiex f'saħħtu aktar tard, għalhekk għaqqadha ma' maniġer tal-proċessi u test tal-konnessjoni veru minn żmien għal żmien.

Qatt ma tissostitwixxi l-indirizz tas-smigħ loopback b'karattru wildcard biex tevita qabża żejda. Din il-bidla waħda hija d-differenza bejn mogħdija amministrattiva u port aċċessibbli pubblikament, u normalment tiġri waqt id-debugging u mbagħad tibqa'. Jekk kollega ma jistax jasal għall-port permezz tal-hub, sewwi l-konfigurazzjoni tal-qabża minflok ma tespandi l-binding. Loopback hija l-argument kollu tas-sigurtà ta' dan id-disinn.

Aċċess tal-amministratur permezz tal-hub

Amministratur b'kont ordinarju fuq il-hub jista' jaqbeż minnu għall-port trażmess. Il-kont relay mhuwiex użat għal dan, u dan huwa eżattament il-punt li jinżammu separati.

ssh -J [email protected] -o HostKeyAlias=device-7 \
    -p 21022 [email protected]

Ivverifika ċ-ċavetta tal-host tal-apparat taħt l-alias li għażilt, għax dik iċ-ċavetta tidentifika l-apparat fit-tarf tal-katina u t-tunell huwa biss trasport. Id-dħul mit-tarf għat-tarf għadu jawtentika ż-żewġt itruf; tunell li jispiċċa fuq hub maqsum ma jagħmilx ruħu mogħdija affidabbli.

Ħu l-pussess taċ-ċiklu tal-ħajja

Mexxi l-kmand tal-apparat taħt maniġer tal-proċessi b'eżattament istanza attiva waħda u politika ta' restart li għażilt b'mod intenzjonat. L-għażliet keepalive jindunaw sieħeb mejjet; ma jqajmux proċess li ħareġ.

Imbagħad ikteb il-proċedura tal-irtirar. Kull apparat jieħu s-semmiegħ tiegħu u ċ-ċavetta tiegħu, għalhekk id-dekummissjonar ifisser li tirrevoka dak il-kont u tneħħi dik iċ-ċavetta, mhux li ddawwar sigriet maqsum mill-flotta kollha.

Fl-aħħar, ftakar x'jagħtik il-loopback. Jilċita l-espożizzjoni tan-netwerk u ma jagħmel xejn dwar utenti lokali oħra fuq hub maqsum, għalhekk il-politika tal-aċċess tal-hub innifsu xorta trid tkun korretta. Referenza sshd_config tiddokumenta kull waħda mill-għażliet użati hawn fuq, u jiswa li taqra s-sezzjonijiet tat-trażmissjoni sħaħ qabel ma tespandi waħda minnhom.