SSH-bastion eller direkte VPN-tilgang: kva policy gjeld?

Om VPN-brukarar kan nå tenarar utan å krysse ein sprettevert, er eit policyspørsmål i nettverksklede. Viss bastionen utfører ein påkravd kontroll, må det å kople seg til VPN føre til han og ikkje rundt han. Viss spretteverten berre brua eit segment som før var utilgjengeleg, kan ein smal direkte veg vere den ærlege erstatinga. Gå gjennom kontrollane nedanfor i rekkjefølgje og stopp ved den første som fell, fordi det svaret avgjer resten.

Kontroller kva bastionen faktisk styrer

Byrja med prov om notida, ikkje eit diagram frå designdokumentet. Sjå på SSH-konfigurasjonen og pakkefilteret til målet: viss inngåande port 22 berre vert godteken frå adressa til bastionen, er spretteverten ein handheva kontroll. Viss same port godtek tilkoplingar frå heile VPN-bassenget, var bastionen ei lettvintheit og handhevinga bur heilt andre stader. Sakshistoria stadfester vanlegvis kven av dei to som fanst først.

Formuler funnet i éi setning som namngjev kontrollen bastionen gjev: avgrensing av mål, eit andre autentiseringstrinn, opptak av økta eller operativ synlegheit under ei hending. Det er den setninga erstattingspolicyen må ta vare på.

Kontroller om målet kan skilje vegane

Reglar for kjeldeadresse verkar berre så lenge dei to vegane kjem med ulike kjeldeadresser. Ein VPN-gateway som maskerer trafikk til tenarnettet viskar ut den skilnaden, og då ser kvar tilkopling til port 22 ut som ho kjem frå gatewayen. Kontrollen er lokal på målet og tek eit augneblink: list dei etablerte SSH-øktene og les peer-adressa for kvar.

Når begge vegane fell saman til éi adresse, må skilnaden gjerast tidlegare, ved kva mål VPN-et får skyve til og ved gatewayen sine eigne filter. Å leggje til ein regel på målet i den situasjonen skaper ei illusjon av grense utan å endre det som kjem inn.

Kontroller kva kvar post faktisk inneheld

Tre ulike loggar skildrar tre ulike hendingar, og ingen av dei erstattar ein annan. Tilkoplingsposten til VPN-et viser at ein identitet gjekk inn i nettverksområdet. Vidaresendingsposten til bastionen viser ein TCP-kanal som forlèt han mot eit mål og ein port. Autentiseringsloggen til målet viser at ein konto logga på over SSH. Det er å lese dei saman som gjev ei tidslinje; å lese éin åleine gjev ei gjetting.

Ingen av desse postane inneheld kva som skjedde inne i den krypterte økta mellom klient og mål. Viss gjennomgang på kommandonivå er eit krav, trengst ein medvite utrulla opptaksmekanisme med eigne reglar for datahandtering. Å vente det frå loggane til spretteverten er måten eit revisjonshol held seg skjult på til det tyder noko.

Kontroller kvar policyen faktisk vert handheva

Ei klientinnstilling som ProxyJump er ei førespurnad, ikkje ei avgrensing. OpenSSH opnar gjerne ein direkte tilkopling når målet er tilgjengeleg, så konfigurasjonsfiler på berebile beskriv hensikta medan brannmurar avgjer resultatet. Handhevinga høyrer til dei tillatne måla til VPN-gatewayen og til målet sine eigne tilgangsreglar, og ingen av dei kan brukaren endre. Revider samtidig dei alternative vegane: eit andre grensesnitt, ein offentleg lyttar, eit mesh-lag eller ein eldre nettstad-til-nettstad-tunnel kan kvar gjenopprette snøgvegen du nettopp lukka.

Konfigurer likevel ProxyJump, fordi det gjer den godkjende ruta til den enkle og hindrar rutinearbeid i å lage unntak. Stadfest kva klienten faktisk løyser opp før du stolar på han.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Stadfest med eit medvite direkte forsøk

Ein policy som aldri er prøvd, er eit håp. Frå ein klient knytt til VPN-et, prøv vegen som no burde verta avvist, prøv så den godkjende, og ta vare på begge resultata. Det avviste forsøket er provet på at endringa tok til å gjelde.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Eit reint resultat ser ut som ei avvist eller tidsavbroten direkte tilkopling til måladdressa, etterfølgt av ei vellukka pålogging på spretteverten og ein autentiseringspost på målssida som namngjev den støtta kjelda. Alt anna tyder at grensa framleis er porøs, kva dokumentasjonen enn seier. Noter datoen, regelen som vart endra og dei to resultata, og gje gjenopprettingsvegen ein eigar og ein utløpsdato slik at naudtilgang ikkje stille vert den daglege ruta.