rsync fuq il-VPN: port tad-daemon 873 kontra l-mod SSH

Li tippermetti TCP 873 fuq l-interface tal-mina ma jimbotta rsync permezz ta’ OpenVPN, u lanqas ma jagħmel it-tarf l-ieħor jaċċetta l-modulu. Mina ġġorr konnessjoni interna li r-regoli tal-protokoll u tad-destinazzjoni tagħha jibqgħu eżatt kif kienu. Għalhekk l-ewwel mistoqsija mhix liema port tiftaħ, iżda liema tip ta’ konnessjoni tagħmel rsync. Kollox hawn taħt jassumi li l-mina diġà qiegħda taħdem u li huwa biss is-servizz intern li għadu dubjuż.

Iddeċiedi liema konnessjoni tassew tagħmel rsync

L-argument remot fil-kmand normalment iwieġeb dik il-mistoqsija qabel kull bidla fil-firewall. Doppju punt doppju jew skema URL jagħżlu d-daemon, filwaqt li punt wieħed wara isem tal-host jagħżel qoxra remota. Aqra l-argument li tassew qed tesegwixxi, mhux dak fl-eżempju tad-dokumentazzjoni.

Għażla espliċita tal-qoxra remota tista’ terġa’ tbiddel it-tweġiba, għax tgħid lil rsync liema program jibda għat-trasport. Aqra l-linja tal-kmand kollha, inklużi l-iskripts tal-involukru li ntirtu, mhux biss il-parti tal-host.

Mod daemon: indirizz tal-irbit, modulu u port

Fis-sintassi tad-daemon, is-segment tal-mogħdija jsemmi modulu kkonfigurat, mhux direttorju fuq id-diska. Il-password tal-modulu tiġi ċċekkjata biss wara li l-konnessjoni tkun aċċettata, u l-modulu jista’ wkoll ikun biss-qari jew moħbi mil-lista. Dan l-ordni huwa importanti meta taqra żball, għax konnessjoni miċħuda u modulu miċħud huma fallimenti f’żewġ stadji differenti. Ħadd mill-messaġġi ma jgħidlek xejn dwar il-mina nnifisha.

Daemon awtonomu jista’ jiġi mmewwaq mal-indirizz tal-mina fil-fajl tal-konfigurazzjoni tiegħu, li jżommu ’l bogħod mill-interface pubblika mingħajr ebda regola tal-firewall. Il-valur irid ikun hemm meta d-daemon jorbot, u semmiegħ attivat bis-socket jew immexxi mill-inetd jista’ jinjorah għal kollox.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Imbagħad ipprova kontra l-indirizz privat minflok l-isem pubbliku. Isem tal-host pubbliku jiġi riżolt f’indirizz WAN u jgħaddi minn mogħdija differenti, anki meta magna waħda twieġeb it-tnejn.

rsync --list-only rsync://10.44.0.1/archive/

Mod tal-qoxra remota: SSH iġorr it-trasferiment

B’punt wieħed, rsync jibda program tal-qoxra remota u jitkellem il-protokoll tiegħu fuq dak il-kanal, u għalhekk l-uniku servizz li jista’ jintlaħaq huwa SSH fuq kwalunkwe port li s-server jisma’ fuqu. Id-daemon rsync qatt ma jaħdem, il-port 873 mhuwiex rilevanti, u d-deċiżjoni tal-aċċess issir deċiżjoni tal-kont SSH. Il-mogħdija remota mbagħad hija mogħdija vera tas-sistema tal-fajls li tinterpreta l-qoxra fuq in-naħa l-oħra. Huwa għalhekk li bidla fil-firewall immirata lejn 873 ma tagħmel xejn għal dan il-mod.

Dan id-disinn jeħtieġ kont awtorizzat u verifika taċ-ċavetta tal-host, u jirtu l-politika ta’ awtentikazzjoni ta’ SSH stess. Spiss hija l-għażla aħjar meta t-trasferiment irid jaqsam net mhux affidabbli, għax il-kriptaġġ jappartjeni għal protokoll li nbena għal dan. Daemon li jitlob password mhuwiex l-istess ħaġa.

Iftaħ biss il-mogħdija li għażilt

Ladarba l-mod jiġi stabbilit, ippermetti l-uniku servizz intern fuq l-uniku interface li jġorr il-mina. Illimita r-regola skont l-interface, il-pool tas-sors u l-indirizz tad-destinazzjoni sabiex bidla aktar tard fic-ċaħda awtomatika ma tkunx tista’ twessagħha bil-kwiet. Imbagħad erġa’ eżamina l-ordni tar-regoli, għax regola li tippermetti qabel fis-sensiela tagħmel ir-regola dejqa sempliċement dekorattiva.

Jekk id-daemon jaħdem fuq magna wara l-gateway VPN u mhux fuq il-gateway innifsu, il-gateway jeħtieġ ukoll mogħdija ta’ birrar u l-mira teħtieġ il-permess tagħha u r-rotta tal-lura. Li tiftaħ il-port biss fuq il-gateway tipproduċi konnessjoni li tiġi aċċettata u mbagħad ma tmur imkien.

Ivverifika mill-klijent bl-istess mod u destinazzjoni li beħsiebek tuża fil-produzzjoni. Lista ta’ suċċess turi flimkien is-semmiegħ, ir-rotta u r-regola; it-timeout jindika l-mogħdija, u ċ-ċaħda tindika s-semmiegħ.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873