Għaliex Regola tal-Port tas-Sors Tkisser Waħda mill-Mogħdijiet SSH Tiegħek

Qbil "sport 22" ma jgħidx liema entrata SSH jappartjeni għaliha tweġiba. Illimita r-regola tal-politika għall-fluss tal-ġestjoni minflok tabella waħda għall-WAN biss.

Żewġ entrati tal-ġestjoni fuq host wieħed, port tas-servizz wieħed, u regola tal-politika li kellha tgħin liż-żewġ. Ir-regola taqbel mal-port tas-sors 22, tibgħat it-tfittxija lejn tabella li taf biss il-valur awtomatiku tal-WAN, u l-entrata VPN tieqaf twieġeb għal logins ġodda waqt li l-entrata diretta tkompli taħdem. Xejn minn dan mhu misterjuż ladarba s-selettur jinqara sew. Port tas-sors jidentifika servizz, mhux il-mogħdija li biha waslet konnessjoni.

Żewġ entrati, port tas-servizz wieħed

Il-host għandu indirizz fuq in-naħa LAN u indirizz VPN, u sshd jisma' fuq it-tnejn. Għalhekk sessjoni diretta u sessjoni bil-mina jaqsmu l-port tas-servizz u jvarjaw biss f'liema indirizz lokali jirċievi l-konnessjoni.

Din id-differenza biżżejjed biex jintgħażel mogħdija għat-tweġiba, u hi eżattament id-differenza li regola bbażata fuq il-port tarmi. Iż-żewġ sessjonijiet jipproduċu tweġibiet li l-port tas-sors tagħhom huwa 22, għalhekk regola li taqbel ma' dak il-port ma tistax tifridhom. Tibgħat iż-żewġ tfittxijiet lejn l-istess tabella, u waħda minnhom tirċievi tweġiba li ma taqbilx. Is-sewwa huwa li taqbel mal-attribut li verament jvarja.

Li tagħti lil kull entrata l-port tagħha wkoll taħdem, u li tittratta dan bħala rekwiżit huwa għażla tad-disinn, mhux proprjetà tal-SSH.

Aqra r-regola, imbagħad it-tabella

Regola tal-politika hija selettur ordnat, u l-ewwel waħda li tirritorna tweġiba użabbli ttemm it-tfittxija. Aqra l-lista fl-ordni u innota liema regola tista' tirbaħ.

Imbagħad aqra t-tabella li lejha tissokta dik ir-regola, għax regola li ssolvi b'suċċess mhijiex regola li ssolvi b'mod utli. Tabella li fiha biss rotta awtomatika tibgħat it-tweġiba li ġejja mill-VPN 'il barra mill-interface WAN. Rotta aktar speċifika f'tabella aktar tard qatt ma tiġi kkonsultata, u għalhekk iż-żieda ta' tabella oħra spiss ma tbiddel xejn. It-tabella magħżula hija dik li trid tiġi eżaminata.

ip -4 rule show
ip route show table 100
ip route show table main

Dawn iż-żewġ output flimkien jispjegaw ir-riżultat; kull waħda waħedha tistieden konklużjoni żbaljata.

Illimita r-regola għall-fluss li trid

L-attribut li jifred iż-żewġ entrati huwa l-indirizz tas-sors lokali. Regola li taqbel ma' dak l-indirizz tibgħat biss is-sessjonijiet tal-mina lejn it-tabella privata u tħalli s-sessjonijiet diretti fuq it-tabella ewlenija.

Dik ir-regola trid tiġi mgħaqqda ma' tabella li fiha r-rotta privata u l-mogħdija tal-kura għal dik is-subnet. Illimita t-tnejn għat-traffiku tal-ġestjoni minflok għal kull servizz fuq il-host. Regola li taqbad it-traffiku kollu minn dak l-indirizz terġa' tiddirieġi wkoll kull ħaġa oħra li l-host jibgħat minn hemm. Id-dejjaq jirbaħ lill-għaqli hawn, għax il-persuna li jmiss trid taqraha.

sudo ip rule add from 10.90.0.1 lookup 100 priority 100
sudo ip route add 10.90.0.0/24 dev wg0 table 100
ip route get 10.90.5.20 from 10.90.0.1

Jekk iż-żewġ entrati jiġu tradotti fuq indirizz lokali wieħed, dik id-distinzjoni tisparixxi u d-disinn ikollu bżonn stat konxju tal-konnessjoni minflok.

Żomm is-semmiegħ, il-permess u l-għażla tat-tweġiba separati

Tliet affarijiet separati għandhom ikunu veri qabel ma taħdem sessjoni: l-indirizz jeżisti, is-servizz jisma' fuqu, u t-tweġiba ssib triqtha lura. Bidla fir-rotta tissewwi biss it-tielet waħda.

Il-konfigurazzjoni tas-semmiegħ hija l-fajl tagħha u r-rikanikament tagħha, u diversi indirizzi ta' smigħ huma normali. L-awtentikazzjoni hija għal darb'oħra t-tielet deċiżjoni, u eċċezzjoni fl-irrotar ma tagħti aċċess lil ħadd. Żomm il-verifika tal-ċavetta tal-host, l-awtentikazzjoni tal-kont u r-restrizzjonijiet tas-sors fuq iż-żewġ entrati, u irreżisti x-xewqa li ddaħħan il-kontrolli l-oħra tal-mina sabiex taħdem mogħdija waħda tal-ġestjoni.

Żomm kanal ta' rkupru li ma jiddependix mill-mogħdija li qed tbiddel, għax żball hawn jibblokka s-sewwa nnifsu.

Ipprova b'sessjoni ġdida, mhux b'waħda qadima

Terminal stabbilit ma jipprova xejn, għax ġie ammess qabel il-bidla. Iftaħ sessjoni ġdida permezz ta' kull entrata maħsuba.

ss -ltnp | grep ':22'
sudo sshd -T | grep -i listenaddress
ssh -v [email protected] true
sudo journalctl -u ssh -n 30

Imbagħad erġa' agħmel ir-rikonnessjoni tal-VPN u erġa' pprova, għax rotta li tgħaddi minn rikonnessjoni mhijiex l-istess bħal waħda miżjuda ma' tabella li r-rikonnessjoni tbattal. Osserva s-sorsi miċħuda separatament minn dawk permessi, sabiex tentattiv imblukkat ma jinħbiex wara sessjoni li taħdem. Issejvja l-indirizz lokali, ir-regola u t-tabella ħdejn ir-riżultat. Jekk minflok taqsam il-ports, irreġistra dan bħala deċiżjoni operattiva u mhux bħala limitu tal-SSH.

Artikli relatati