Bastjun SSH jew aċċess VPN dirett: liema politika tapplika?

Jekk utenti VPN jistgħux jaslu għall-utenti bla ma jaqsmu host tal-qbiż hija kwistjoni ta’ politika liebsa l-libsa tan-netwerk. Jekk il-bastjun iwettaq kontroll meħtieġ, allura d-dħul fil-VPN għandu jwassal għalih u mhux idur miegħu. Jekk il-host tal-qbiż kien biss jaqsam segment li qabel ma setax jintlaħaq, mogħdija diretta dejqa tista’ tkun is-sostituzzjoni onesta. Agħmel il-verifiki hawn taħt f’ordni u waqaf fl-ewwel waħda li tfalli, għax dik it-tweġiba tiddetermina l-bqija.

Ivverifika x’jikkontrolla l-bastjun fil-fatt

Ibda b’evidenza dwar il-preżent, mhux b’dijagramma mid-dokument tad-disinn. Ħares lejn il-konfigurazzjoni SSH u l-filtru tal-pakketti tal-mira: jekk il-port 22 deħlin jiġi aċċettat biss mill-indirizz tal-bastjun, il-host tal-qbiż huwa kontroll infurzat. Jekk l-istess port jaċċetta konnessjonijiet mill-pool VPN kollu, il-bastjun kien komodità u l-infurzar jgħix x’imkien ieħor għal kollox. L-istorja tat-tickets normalment tikkonferma liema miż-żewġ kien jeżisti l-ewwel.

Iddikjara s-sejba f’sentenza waħda li ssemmi l-kontroll li jipprovdi l-bastjun: restrizzjoni tad-destinazzjoni, it-tieni pass ta’ awtentikazzjoni, reġistrazzjoni tas-sessjoni jew viżibilità operattiva waqt inċident. Dik is-sentenza hija dak li l-politika tas-sostituzzjoni trid tippreserva.

Ivverifika jekk il-mira tistax tiddistingwi l-mogħdijiet

Ir-regoli tal-indirizz tas-sors jaħdmu biss sakemm iż-żewġ mogħdijiet jaslu b’indirizzi tas-sors differenti. Gateway VPN li jaħbi t-traffiku lejn is-subnet tal-utenti jħassar dik id-differenza, u mbagħad kull konnessjoni għall-port 22 tidher li ġejja mill-gateway. Il-verifika hija lokali fuq il-mira u tieħu mument: elenka s-sessjonijiet SSH stabbiliti u aqra l-indirizz tal-pari għal kull waħda.

Meta ż-żewġ mogħdijiet jaqgħu flimkien f’indirizz wieħed, id-distinzjoni trid issir qabel, mid-destinazzjonijiet li l-VPN jitħalla jimbotta u mill-filtri tal-gateway stess. Żieda ta’ regola fuq il-mira f’dik is-sitwazzjoni toħloq l-illużjoni ta’ fruntiera mingħajr ma tbiddel dak li jasal.

Ivverifika x’jaħżen kull rekord fil-fatt

Tliet logs differenti jiddeskrivu tliet avvenimenti differenti, u ħadd minnhom ma jissostitwixxi ieħor. Ir-rekord tal-konnessjoni tal-VPN juri li identità daħlet fl-ambitu tan-netwerk. Ir-rekord tal-ġarr tal-bastjun juri kanal TCP li jħallih lejn destinazzjoni u port. Il-log tal-awtentikazzjoni tal-mira juri li kont iffirma permezz ta’ SSH. Hija l-qari tagħhom flimkien li jipproduċi linja ta’ żmien; il-qari ta’ wieħed waħdu jipproduċi konġettura.

Ħadd minn dawk ir-rekords ma fih dak li ġara ġewwa s-sessjoni kriptata bejn il-klijent u l-mira. Jekk reviżjoni fil-livell tal-kmand hija rekwiżit, teħtieġ mekkaniżmu ta’ reġistrazzjoni mqiegħed apposta bil-regoli tiegħu dwar l-immaniġġjar tad-dejta. Li tistenna dan mil-logs tal-host tal-qbiż huwa l-mod kif vojt fl-awditjar jibqa’ moħbi sakemm ikun importanti.

Ivverifika fejn tiġi infurzata l-politika fil-fatt

Setting tal-klijent bħal ProxyJump hija talba, mhux restrizzjoni. OpenSSH se jiftaħ konnessjoni diretta bil-qalb meta d-destinazzjoni tkun tista’ tintlaħaq, għalhekk il-fajls tal-konfigurazzjoni fuq il-laptops jiddeskrivu l-intenzjoni filwaqt li l-firewalls jiddeċiedu r-riżultat. L-infurzar jaqa’ fuq id-destinazzjonijiet permessi tal-gateway VPN u fuq ir-regoli tal-aċċess tal-mira stess, u l-utent ma jistax jeditja lanqas waħda. Ivverifika wkoll il-mogħdijiet alternattivi fl-istess ħin: interfacca oħra, semmiegħ pubbliku, saff mesh jew mina antika bejn is-siti kull waħda tista’ terġa’ ġġib is-shortcut li għadek kif għalaqt.

Ikkonfigura ProxyJump xorta waħda, għax jagħmel ir-rotta approvata l-waħda faċli u jwaqqaf ix-xogħol ta’ rutina milli jiġġenera eċċezzjonijiet. Ikkonferma x’jissolva l-klijent fil-fatt qabel tafdah.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Ivverifika b’attentat dirett apposta

Politika li qatt ma ġiet ittestjata hija tama. Minn klijent imqabbad mal-VPN, ipprova l-mogħdija li issa għandha tiġi rrifjutata, imbagħad ipprova dik approvata, u żomm iż-żewġ riżultati. L-attentat irrifjutat huwa l-prova li l-bidla daħlet fis-seħħ.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Riżultat nadif jidher bħal konnessjoni diretta rrifjutata jew skaduta lejn l-indirizz tal-mira, segwita minn login ta’ suċċess fuq il-host tal-qbiż u entrata ta’ awtentikazzjoni fuq in-naħa tal-mira li ssemmi s-sors appoġġjat. Kwalunkwe ħaġa oħra tfisser li l-fruntiera għadha poruża, x’jgħid id-dokument. Innota d-data, ir-regola mibdula u ż-żewġ riżultati, u mbagħad agħti lill-mogħdija tal-irkupru sid u data ta’ skadenza sabiex l-aċċess ta’ emerġenza ma jsirx bil-kwiet ir-rotta ta’ kuljum.