کله چې کوربه بهر ته وتونکی VPN چلوي، سیمه‌ایز SSH وساتئ

یو کوچنی Linux سرور د هغه اپلیکیشن لپاره چې کوربه یې کوي بهر ته وتونکی VPN چلوي، او مدیر لا هم غواړي له څنګ مېز څخه SSH ته ورسیږي۔ دا یوه مناسبه غوښتنه ده، او معمولاً نه د پورټ لېږد، نه د برابرونکي پته او نه په تونل کې د سوري اړتیا لري۔ هغه څه چې اړتیا ورته ده د مدیریت یوه لار ده چې په قصد جوړه شوې وي، نه دا چې له هغه څه میراث وي چې VPN کلینټ د لېړنې جدول سره کړي دي۔

لاندې ګامونه فرض کوي چې مدیر په هماغه LAN کې دی۔له لارې مدیریت یوه بله ستونزه ده چې بل ځواب لري۔

SSH هغې پتې ته وتړئ چې مدیران یې کاروي

له اورېدونکي پیل وکړئ۔ss -ltnp | grep :22 ښیي چې sshd له کوم شي سره تړلی دی، او په 0.0.0.0 باندې اورېدونکی له هر انټرفېس څخه، تونل هم په کې، اړیکې مني۔ LAN پتې ته تړل تنګتر دی او نیت ښکاره کوي:ListenAddress 192.168.10.20 په sshd_config کې، ورپسې د ترتیباتو ازموینه او بیا بارول۔ په هغه پته کې تایپي غلطي د وحشي کارډ څخه ښکاره‌تره ده، ځکه چې پته نه وي sshd له پیل کولو انکار کوي۔

د کوربه کیلي ازموینه او د هر کارونکي تصدیق په هماغه ډول چې دي وساتئ۔ «دا یوازې سیمه‌ایزه شبکه ده» د تصدیق طریقه نه ده، او هغه مدیریتي چینل چې د لارې د لنډوالي له امله د کیلي ازموینه پرېږدي د ناوړه ګټې اخیستنې په تمه چینل دی۔ DHCP ریزرو یا ثابته پته هدف د اټکل وړ کوي، پرته له دې چې د سرور عامه هویت يې جوړ کړي۔

د LAN لاره له تونل څخه بهر وساتئ

هغه کوربه چې په 192.168.10.0/24 کې پته لري د هغه مخکښ لپاره تړلې لاره لري، او په هماغه جدول کې ډېره ځانګړې لاره د VPN ډیفالټ ته ماتې ورکوي۔ له همدې امله کله چې تونل پورته شي سیمه‌ایز SSH ډېری وختونه پخپله کار کوي۔ د اټکل کولو پر ځای یې تصدیق کړئ:ip route get 192.168.10.50 هغه انټرفېس او سرچینه پته نوموي چې کرنل به یې کاروي، او ځواب باید د تونل نه، بلکې د LAN وسیله وي۔ له مدیر د ماشین څخه هم ازموینه تکرار کړئ، ځکه چې پاکټونه اصلاً رسیږي که نه د هغه خپل جدول فیصله کوي۔ په یوه تار دوه کوربه کولای شي په دې کې اختلاف ولري چې کوم لوری د لاسرسي وړ دی۔

فرض په دوو ځایونو کې ماتېږي۔ د پالیسۍ پر بنسټ د لېړنې قاعده کولای شي ترافیک هغه جدول ته ولېږي چې ډیفالټ یې تونل ته اشاره کوي، مخکې له دې چې اصلي جدول وکتل شي۔ د قلف یا kill switch ځانګړتیا لرونکی VPN کلینټ هم کولای شي هغه ترافیک بند کړي چې تونل ته نه ننوځي، پرته له دې چې د لېړنې جدول څه وایي۔

لېړل شوي مدیریتي VLAN بل حالت دی۔ که مدیر د سیمه‌ایز روټر شاته په 192.168.50.0/24 کې ناست وي، سرور ته د هغه مخکښ لپاره د 192.168.10.1 له لارې څرګنده لاره پکار ده، او هغه لاره باید له بیاځلي نښلېدو څخه وژغورل شي۔ استثنا یوازې د مدیریت مخکښ ته ځانګړې وساتئ؛ د شخصي حدونو لپاره پراخه استثنا د تونل هدف له منځه وړي۔

د فایر وال استثنا د قاعدې په اندازه تنګه کړئ

که کوربه فایر وال چلوي، SSH یوازې د مدیریت سرچینې څخه او یوازې په LAN انټرفېس باندې اجازه ورکړئ۔ هغه قاعده چې 22 پورټ له هر ځایه اجازه ورکوي د اړتیا څخه پراخه ده او په بیاکتنه کې یې توجیه کول ستونزمن دي۔ په nftables کوربه کې قاعده د ننوتلو ځنځیر کې د انټرفېس او سرچینې سره سمون لري؛ په iptables کوربه کې معادل یې -i او -s باندې د دوو سمونونو جوړه ده۔ پر قاعده د هغه مدیرانو ډلې تبصره ولیکئ چې خدمت یې کوي، تر څو راتلونکې پلټنه اړ نه شي اټکل وکړي چې 22 پورټ ولې خلاص دی۔

د VPN کلینټ خپل فلټر هم وګورئ۔ ځینې کلینټونه هغه قواعد نصبوي چې په ډیزاین سیمه‌ایز ترافیک غورځوي، او د کلینټ کچې غورځولو پرمخ سم فایر وال قاعده هېڅ نه بدلوي۔ د کوربه فایر وال د سمون مخکې د کلینټ ترتیبات ولولئ، ځکه چې په لړ کې دوه فلټرونه داسې نیمګړتیا جوړوي چې له هیچا سره نه ورته والی لري۔

دواړه حالتونه وازموئ

ازموینه دوه ځله چل کړئ: یو ځل د تونل سره نښلول شوی او یو ځل پرې شوی۔ په هر حالت کې اورېدونکی، لاره او له مدیر ماشین څخه ریښتینی SSH ننوتل تصدیق کړئ۔ هغه لار چې یوازې تر هغو کار کوي چې تونل پورته دی سیمه‌ایزه مدیریتي لار نه ده؛ دا یوه تصادف ده۔

بیا SSH ناسته خلاصه وي تونل بیا پیل کړئ۔ هغه ناسته چې ژوندې پاتې کیږي ثابتوي چې لېړنه ټینه ده؛ هغه ناسته چې غورځي تاسو ته وایي چې کلینټ په بیاځلي نښلېدو کې لارې یا فلټرونه بیا لیکي، کوم چې د پېښې په وخت نه، بلکې مخکې پوهېدل غوره دي۔

هغه سرچینه پته ولیکئ چې له هغې مو ازموینه کړې، ځکه چې د 192.168.10.50 لپاره لیکل شوې قاعده په چوپتیا ناکامه کیږي کله چې د مدیر لپټاپ بل سبنيټ ته ځي۔

د بیا رغونې لاره په runbook کې ولیکئ

اوس پریکړه وکړئ چې که بهر ته وتونکی VPN سیمه‌ایزه لاره مات کړي څه کیږي۔ کنسول ته لاسرسی، دویمه مدیریتي پته، یا د کلینټ د بندولو مستنده پروسیجر — ټول قانوني ځوابونه دي، او له دوی څخه هر یو له هغه شی څخه غوره دی چې د ننوتلو په اړتیا وخت کې ستونزه ومومئ۔ که سرور لیرې وي، سیمه‌ایزه لاره نشته، او سم ډیزاین خلاص عامه پورټ نه، بلکې جلا تصویب شوې لیرې لاسرسي لاره یا باسټیون دی۔

په اسنادو کې دواړه رولونه جلا وساتئ: د نږدې مدیر لپاره سیمه‌ایز SSH، او د اپلیکیشن ترافیک لپاره بهر ته وتونکی تونل۔ کله چې دا رولونه ولیکل شي، راتلونکې بدلون په هر یوه کې د کتلو څرګنده ځای لري، او بل کس اړ نه دی بیا ومومي چې VPN لرونکی سرور ولې لا هم د خپلې LAN پتې په ځواب ورکولو کې دی۔