SSH ਬੈਸਟੀਅਨ ਜਾਂ ਸਿੱਧੀ VPN ਪਹੁੰਚ: ਕਿਹੜੀ ਨੀਤੀ ਲਾਗੂ ਹੁੰਦੀ ਹੈ?

ਕੀ VPN ਵਰਤੋਂਕਾਰ ਜੰਪ ਹੋਸਟ ਪਾਰ ਕੀਤੇ ਬਿਨਾਂ ਸਰਵਰਾਂ ਤੱਕ ਪਹੁੰਚ ਸਕਦੇ ਹਨ, ਇਹ ਨੈੱਟਵਰਕਿੰਗ ਦੀ ਪੁਸ਼ਾਕ ਪਾਈ ਨੀਤੀ ਦਾ ਸਵਾਲ ਹੈ। ਜੇ ਬੈਸਟੀਅਨ ਕੋਈ ਲਾਜ਼ਮੀ ਨਿਯੰਤਰਣ ਕਰਦਾ ਹੈ, ਤਾਂ VPN ਨਾਲ ਜੁੜਨਾ ਉਸ ਵੱਲ ਹੀ ਲੈ ਕੇ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਉਸ ਦੁਆਲੇ ਨਹੀਂ। ਜੇ ਜੰਪ ਹੋਸਟ ਸਿਰਫ਼ ਉਸ ਖੰਡ ਨੂੰ ਜੋੜਦਾ ਸੀ ਜੋ ਪਹਿਲਾਂ ਪਹੁੰਚ ਤੋਂ ਬਾਹਰ ਸੀ, ਤਾਂ ਤੰਗ ਸਿੱਧਾ ਮਾਰਗ ਇਮਾਨਦਾਰ ਬਦਲ ਹੋ ਸਕਦਾ ਹੈ। ਹੇਠਾਂ ਦਿੱਤੀਆਂ ਜਾਂਚਾਂ ਕ੍ਰਮ ਨਾਲ ਕਰੋ ਅਤੇ ਪਹਿਲੀ ਅਸਫਲ ਜਾਂਚ 'ਤੇ ਰੁਕੋ, ਕਿਉਂਕਿ ਉਹੀ ਜਵਾਬ ਬਾਕੀ ਤੈਅ ਕਰਦਾ ਹੈ।

ਜਾਂਚੋ ਕਿ ਬੈਸਟੀਅਨ ਅਸਲ ਵਿੱਚ ਕੀ ਨਿਯੰਤਰਿਤ ਕਰਦਾ ਹੈ

ਡਿਜ਼ਾਈਨ ਦਸਤਾਵੇਜ਼ ਦੇ ਚਿੱਤਰ ਨਾਲ ਨਹੀਂ, ਮੌਜੂਦਾ ਹਾਲਤ ਬਾਰੇ ਸਬੂਤ ਨਾਲ ਸ਼ੁਰੂ ਕਰੋ। ਟਾਰਗਟ ਦੀ SSH ਸੰਰਚਨਾ ਅਤੇ ਪੈਕਟ ਫਿਲਟਰ ਵੇਖੋ: ਜੇ ਅੰਦਰ ਆਉਣ ਵਾਲਾ ਪੋਰਟ 22 ਸਿਰਫ਼ ਬੈਸਟੀਅਨ ਦੇ ਪਤੇ ਤੋਂ ਸਵੀਕਾਰ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਜੰਪ ਹੋਸਟ ਥੋਪਿਆ ਹੋਇਆ ਨਿਯੰਤਰਣ ਹੈ। ਜੇ ਉਹੀ ਪੋਰਟ ਪੂਰੇ VPN ਪੂਲ ਤੋਂ ਕਨੈਕਸ਼ਨ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ, ਤਾਂ ਬੈਸਟੀਅਨ ਸਿਰਫ਼ ਸੁਵਿਧਾ ਸੀ ਅਤੇ ਲਾਗੂ ਕਰਨਾ ਬਿਲਕੁਲ ਕਿਤੇ ਹੋਰ ਰਹਿੰਦਾ ਹੈ। ਟਿਕਟ ਇਤਿਹਾਸ ਆਮ ਤੌਰ 'ਤੇ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ ਕਿ ਦੋਹਾਂ ਵਿੱਚੋਂ ਪਹਿਲਾਂ ਕਿਹੜਾ ਸੀ।

ਬੈਸਟੀਅਨ ਵੱਲੋਂ ਦਿੱਤੇ ਨਿਯੰਤਰਣ ਦਾ ਨਾਮ ਲੈਂਦੇ ਇੱਕ ਵਾਕ ਵਿੱਚ ਨਤੀਜਾ ਦੱਸੋ: ਮੰਜ਼ਿਲ ਸੀਮਾ, ਦੂਜਾ ਪ੍ਰਮਾਣੀਕਰਣ ਕਦਮ, ਸੈਸ਼ਨ ਰਿਕਾਰਡਿੰਗ, ਜਾਂ ਘਟਨਾ ਵੇਲੇ ਕਾਰਜਸ਼ੀਲ ਦਿੱਖ। ਉਹੀ ਵਾਕ ਬਦਲਵੀਂ ਨੀਤੀ ਨੂੰ ਬਚਾਉਣਾ ਚਾਹੀਦਾ ਹੈ।

ਜਾਂਚੋ ਕਿ ਟਾਰਗਟ ਮਾਰਗਾਂ ਵਿੱਚ ਫ਼ਰਕ ਪਾ ਸਕਦਾ ਹੈ ਜਾਂ ਨਹੀਂ

ਸਰੋਤ-ਪਤੇ ਦੇ ਨਿਯਮ ਉਦੋਂ ਤੱਕ ਹੀ ਕੰਮ ਕਰਦੇ ਹਨ ਜਦੋਂ ਤੱਕ ਦੋਵੇਂ ਮਾਰਗ ਵੱਖਰੇ ਸਰੋਤ ਪਤਿਆਂ ਨਾਲ ਆਉਂਦੇ ਹਨ। ਸਰਵਰ ਸਬਨੈੱਟ ਵੱਲ ਟ੍ਰੈਫਿਕ ਨੂੰ ਮਾਸਕ ਕਰਨ ਵਾਲਾ VPN ਗੇਟਵੇ ਉਹ ਫ਼ਰਕ ਮਿਟਾ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਫਿਰ ਪੋਰਟ 22 'ਤੇ ਹਰ ਕਨੈਕਸ਼ਨ ਗੇਟਵੇ ਤੋਂ ਆਇਆ ਜਾਪਦਾ ਹੈ। ਜਾਂਚ ਟਾਰਗਟ 'ਤੇ ਹੀ ਸਥਾਨਕ ਹੈ ਅਤੇ ਇੱਕ ਪਲ ਲੈਂਦੀ ਹੈ: ਸਥਾਪਿਤ SSH ਸੈਸ਼ਨ ਗਿਣੋ ਅਤੇ ਹਰੇਕ ਦਾ ਸਾਥੀ ਪਤਾ ਪੜ੍ਹੋ।

ਜਦੋਂ ਦੋਵੇਂ ਮਾਰਗ ਇੱਕ ਪਤੇ ਵਿੱਚ ਰਲ ਜਾਂਦੇ ਹਨ, ਤਾਂ ਫ਼ਰਕ ਪਹਿਲਾਂ ਕਰਨਾ ਪੈਂਦਾ ਹੈ: VPN ਨੂੰ ਕਿਹੜੀਆਂ ਮੰਜ਼ਿਲਾਂ ਵੱਲ ਭੇਜਣ ਦੀ ਆਗਿਆ ਹੈ ਅਤੇ ਗੇਟਵੇ ਦੇ ਆਪਣੇ ਫਿਲਟਰਾਂ ਰਾਹੀਂ। ਇਸ ਹਾਲਤ ਵਿੱਚ ਟਾਰਗਟ 'ਤੇ ਨਿਯਮ ਜੋੜਨਾ ਆਉਣ ਵਾਲੀ ਚੀਜ਼ ਬਦਲੇ ਬਿਨਾਂ ਸੀਮਾ ਦਾ ਭੁਲੇਖਾ ਪੈਦਾ ਕਰਦਾ ਹੈ।

ਜਾਂਚੋ ਕਿ ਹਰ ਰਿਕਾਰਡ ਅਸਲ ਵਿੱਚ ਕੀ ਰੱਖਦਾ ਹੈ

ਤਿੰਨ ਵੱਖਰੇ ਲੌਗ ਤਿੰਨ ਵੱਖਰੀਆਂ ਘਟਨਾਵਾਂ ਦਾ ਵਰਣਨ ਕਰਦੇ ਹਨ, ਅਤੇ ਕੋਈ ਵੀ ਦੂਜੇ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈਂਦਾ। VPN ਦਾ ਕਨੈਕਸ਼ਨ ਰਿਕਾਰਡ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਇੱਕ ਪਛਾਣ ਨੈੱਟਵਰਕ ਦੇ ਘੇਰੇ ਵਿੱਚ ਆਈ। ਬੈਸਟੀਅਨ ਦਾ ਫਾਰਵਰਡਿੰਗ ਰਿਕਾਰਡ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ TCP ਚੈਨਲ ਉਸ ਨੂੰ ਛੱਡ ਕੇ ਮੰਜ਼ਿਲ ਅਤੇ ਪੋਰਟ ਵੱਲ ਜਾਂਦਾ ਹੈ। ਟਾਰਗਟ ਦਾ ਪ੍ਰਮਾਣੀਕਰਣ ਲੌਗ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਖਾਤੇ ਨੇ SSH ਰਾਹੀਂ ਸਾਈਨ ਇਨ ਕੀਤਾ। ਇਨ੍ਹਾਂ ਨੂੰ ਇਕੱਠਿਆਂ ਪੜ੍ਹਨ ਨਾਲ ਹੀ ਸਮਾਂ-ਰੇਖਾ ਬਣਦੀ ਹੈ; ਇੱਕਲਾ ਪੜ੍ਹਨ ਨਾਲ ਅੰਦਾਜ਼ਾ ਬਣਦਾ ਹੈ।

ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੋਈ ਰਿਕਾਰਡ ਇਹ ਨਹੀਂ ਰੱਖਦਾ ਕਿ ਕਲਾਇੰਟ ਅਤੇ ਟਾਰਗਟ ਵਿਚਕਾਰ ਐਨਕ੍ਰਿਪਟਿਡ ਸੈਸ਼ਨ ਦੇ ਅੰਦਰ ਕੀ ਹੋਇਆ। ਜੇ ਕਮਾਂਡ-ਪੱਧਰੀ ਸਮੀਖਿਆ ਲਾਜ਼ਮੀ ਹੈ, ਤਾਂ ਇਸ ਲਈ ਆਪਣੇ ਡੇਟਾ-ਸੰਭਾਲ ਨਿਯਮਾਂ ਵਾਲਾ, ਜਾਣ-ਬੁੱਝ ਕੇ ਤਾਇਨਾਤ ਕੀਤਾ ਰਿਕਾਰਡਿੰਗ ਤੰਤਰ ਚਾਹੀਦਾ ਹੈ। ਜੰਪ-ਹੋਸਟ ਲੌਗਾਂ ਤੋਂ ਇਸ ਦੀ ਆਸ ਰੱਖਣਾ ਉਹੀ ਰਾਹ ਹੈ ਜਿਸ ਨਾਲ ਆਡਿਟ ਦਾ ਪਾੜਾ ਮਹੱਤਵਪੂਰਨ ਹੋਣ ਤੱਕ ਲੁਕਿਆ ਰਹਿੰਦਾ ਹੈ।

ਜਾਂਚੋ ਕਿ ਨੀਤੀ ਅਸਲ ਵਿੱਚ ਕਿੱਥੇ ਲਾਗੂ ਹੁੰਦੀ ਹੈ

ProxyJump ਵਰਗੀ ਕਲਾਇੰਟ ਸੈਟਿੰਗ ਬੇਨਤੀ ਹੈ, ਪਾਬੰਦੀ ਨਹੀਂ। ਜਦੋਂ ਮੰਜ਼ਿਲ ਪਹੁੰਚਯੋਗ ਹੁੰਦੀ ਹੈ ਤਾਂ OpenSSH ਖ਼ੁਸ਼ੀ ਨਾਲ ਸਿੱਧਾ ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹ ਦੇਵੇਗਾ, ਇਸ ਲਈ ਲੈਪਟਾਪਾਂ ਦੀਆਂ ਸੰਰਚਨਾ ਫ਼ਾਈਲਾਂ ਇਰਾਦਾ ਦੱਸਦੀਆਂ ਹਨ ਜਦੋਂ ਕਿ ਫਾਇਰਵਾਲ ਨਤੀਜਾ ਤੈਅ ਕਰਦੇ ਹਨ। ਲਾਗੂ ਕਰਨਾ VPN ਗੇਟਵੇ ਦੀਆਂ ਆਗਿਆ ਪ੍ਰਾਪਤ ਮੰਜ਼ਿਲਾਂ ਅਤੇ ਟਾਰਗਟ ਦੇ ਆਪਣੇ ਪਹੁੰਚ ਨਿਯਮਾਂ ਵਿੱਚ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਵਰਤੋਂਕਾਰ ਦੋਹਾਂ ਵਿੱਚੋਂ ਕੋਈ ਸੋਧ ਨਹੀਂ ਸਕਦਾ। ਨਾਲ ਹੀ ਬਦਲਵੇਂ ਮਾਰਗਾਂ ਦਾ ਆਡਿਟ ਕਰੋ: ਦੂਜਾ ਇੰਟਰਫ਼ੇਸ, ਜਨਤਕ ਸਰੋਤਾ, ਮੈਸ਼ ਪਰਤ ਜਾਂ ਪੁਰਾਣੀ ਸਾਈਟ-ਤੋਂ-ਸਾਈਟ ਸੁਰੰਗ — ਇਹਨਾਂ ਵਿੱਚੋਂ ਹਰ ਇੱਕ ਹੁਣੇ ਬੰਦ ਕੀਤਾ ਸ਼ਾਰਟਕੱਟ ਮੁੜ ਸਥਾਪਿਤ ਕਰ ਸਕਦਾ ਹੈ।

ਫਿਰ ਵੀ ProxyJump ਸੰਰਚਿਤ ਕਰੋ, ਕਿਉਂਕਿ ਇਹ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਮਾਰਗ ਨੂੰ ਸੌਖਾ ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਰੋਜ਼ਾਨਾ ਕੰਮ ਨੂੰ ਅਪਵਾਦ ਪੈਦਾ ਕਰਨ ਤੋਂ ਰੋਕਦਾ ਹੈ। ਭਰੋਸਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਕਲਾਇੰਟ ਅਸਲ ਵਿੱਚ ਕੀ ਹੱਲ ਕਰਦਾ ਹੈ।

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

ਜਾਣ-ਬੁੱਝ ਕੇ ਕੀਤੇ ਸਿੱਧੇ ਯਤਨ ਨਾਲ ਪਰਖੋ

ਜੋ ਨੀਤੀ ਕਦੇ ਨਹੀਂ ਪਰਖੀ ਗਈ ਉਹ ਆਸ ਹੈ। VPN ਨਾਲ ਜੁੜੇ ਕਲਾਇੰਟ ਤੋਂ ਉਸ ਮਾਰਗ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੋ ਜੋ ਹੁਣ ਰੱਦ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਫਿਰ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਮਾਰਗ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੋ, ਅਤੇ ਦੋਵੇਂ ਨਤੀਜੇ ਰੱਖੋ। ਰੱਦ ਕੀਤਾ ਯਤਨ ਹੀ ਇਸ ਗੱਲ ਦਾ ਸਬੂਤ ਹੈ ਕਿ ਤਬਦੀਲੀ ਲਾਗੂ ਹੋਈ।

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

ਸਾਫ਼ ਨਤੀਜਾ ਟਾਰਗਟ ਪਤੇ ਵੱਲ ਰੱਦ ਕੀਤੇ ਜਾਂ ਸਮਾਂ-ਸਮਾਪਤ ਹੋਏ ਸਿੱਧੇ ਕਨੈਕਸ਼ਨ ਵਰਗਾ ਦਿਸਦਾ ਹੈ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਜੰਪ ਹੋਸਟ 'ਤੇ ਸਫਲ ਸਾਈਨ-ਇਨ ਅਤੇ ਟਾਰਗਟ ਵੱਲ ਸਮਰਥਿਤ ਸਰੋਤ ਦਾ ਨਾਮ ਲੈਣ ਵਾਲੀ ਪ੍ਰਮਾਣੀਕਰਣ ਐਂਟਰੀ ਆਉਂਦੀ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ ਕੁਝ ਵੀ ਹੋਵੇ ਤਾਂ ਸੀਮਾ ਅਜੇ ਵੀ ਛਿਦਰਯੁਕਤ ਹੈ, ਦਸਤਾਵੇਜ਼ ਭਾਵੇਂ ਕੁਝ ਵੀ ਕਹੇ। ਤਾਰੀਖ਼, ਬਦਲਿਆ ਨਿਯਮ ਅਤੇ ਦੋਵੇਂ ਨਤੀਜੇ ਦਰਜ ਕਰੋ, ਫਿਰ ਮੁੜ-ਪ੍ਰਾਪਤੀ ਮਾਰਗ ਨੂੰ ਇੱਕ ਮਾਲਕ ਅਤੇ ਇੱਕ ਸਮਾਪਤੀ ਤਾਰੀਖ਼ ਦਿਓ ਤਾਂ ਜੋ ਐਮਰਜੈਂਸੀ ਪਹੁੰਚ ਚੁੱਪਚਾਪ ਰੋਜ਼ਾਨਾ ਮਾਰਗ ਨਾ ਬਣ ਜਾਵੇ।