SSH باستیون که مستقیم VPN لاسرسی: کومه تګلاره پلي کیږي؟

دا پوښتنه چې آیا د VPN کاروونکي کولای شي پرته له جنسټ هوسټ تیریدو سرورونو ته ورسیږي، د شبکې په جامو کې د تګلارې پوښتنه ده۔ که باستیون یو اړین کنټرول ترسره کوي، نو VPN ته ننوتل باید هغې ته ورسوي نه چې شاوخوا یې وګرځي۔ که جنسټ هوسټ یوازې هغه برخه پله کړې وه چې مخکې ورته رسیدل ناممکن وو، نو یوه تنګه مستقیمه لار کولای شي صادقه بدیله وي۔ لاندې څېړنې په ترتیب سره وکړئ او په لومړنۍ ناکامه څېړنه کې ودریږئ، ځکه هغه ځواب پاتې برخه ټاکي۔

وګورئ چې باستیون په رښتیا څه کنټرولوي

د ډیزاین سند له انځور نه، بلکې د اوسني حالت له شاهدو پیل وکړئ۔ د هدف SSH ترتیب او د بنډل فلټر وګورئ: که د ننوتلو پورټ 22 یوازې د باستیون له پتې منل کیږي، جنسټ هوسټ یو زورواکي کنټرول دی۔ که هماغه پورټ د ټول VPN حوض له پتې اړیکې مني، باستیون یوازې اسانتیا وه او پلي کول په بشپړ ډول بل ځای کې دي۔ د ټیکټونو تاریخ معمولاً تاییدوي چې له دواړو کوم لومړی و۔

پایله په یوه جمله کې بیان کړئ چې د باستیون لخوا ورکړل شوي کنټرول نوم اخلي: د منزل محدودیت، دوهم تصدیق ګام، د غونډې ثبت، یا د پېښې پر مهال عملیاتي لید۔ هماغه جمله ده چې بدیله تګلاره باید وساتي۔

وګورئ چې آیا هدف کولای شي لارې جلا کړي

د سرچینې پتې قواعد یوازې تر هغه پورې کار کوي چې دواړه لارې په بېلو سرچینې پتو رسیږي۔ د VPN دروازه چې سرور فرعي شبکه ته ترافیک پټوي هغه توپیر له منځه وړي، او بیا هر اړیکه پورټ 22 ته داسې ښکاري چې له دروازې راغلې۔ څېړنه په هدف کې سیمه ییزه ده او یوه شیبه نیسي: جوړې شوې SSH غونډې ولیکئ او د هرې لپاره د سیال پته ولولئ۔

کله چې دواړه لارې په یوه پته کې ورکې شي، توپیر باید مخکې وشي: د هغو منزلونو له مخې چې VPN ته اجازه لري یې ولیږي او د دروازې د خپلو فلټرونو له مخې۔ په داسې حالت کې پر هدف قاعده زیاتول پرته له دې چې راغلي شی بدل کړي د پولې توهم جوړوي۔

وګورئ چې هر ثبت په رښتیا څه ساتي

درې بېل لاګونه درې بېلې پېښې بیانوي او هیڅ یو بل نه بدلوي۔ د VPN د اړیکې ثبت ښیي چې یوه پېژندنه د شبکې په حد کې داخله شوه۔ د باستیون د لېږد ثبت یو TCP کانال ښیي چې هغه پرېږدي او منزل او پورټ ته ځي۔ د هدف د تصدیق لاګ ښیي چې یو حساب د SSH له لارې ننوت۔ همدا دوی یوځای لوستل دي چې مهالیز جوړوي؛ یوازې یو لوستل اټکل جوړوي۔

له دغو ثبتونو هیڅ یو هم نه لري چې د کاروونکي او هدف ترمنځ په کوډ شوې غونډې دننه څه وشول۔ که د کمانډ کچې کتنه اړتیا وي، نو د خپلو معلوماتو د سمبالښت قواعدو سره په قصد جوړ شوی د ثبت میکانیزم ته اړتیا ده۔ له جنسټ-هوسټ لاګونو څخه د دې تمه کول هماغه لار ده چې د پلټنې تشه تر مهمیدو پورې پټه پاتې کیږي۔

وګورئ چې تګلاره په رښتیا چېرته پلي کیږي

د کاروونکي ترتیب لکه ProxyJump غوښتنه ده، نه محدودیت۔ کله چې منزل ته رسیدل ممکن وي OpenSSH په خوښۍ مستقیمه اړیکه پرانیزي، نو په لپ ټاپونو کې د ترتیب فایلونه نیت بیانوي په داسې حال کې چې د اور دیوالونه پایله ټاکي۔ پلي کول د VPN دروازې اجازه لرونکو منزلونو او د هدف خپلو لاسرسي قواعدو پورې اړه لري، او کاروونکی هیڅ یو هم نشي سمولای۔ په هماغه وخت کې بدیلي لارې وګورئ: دوهم انټرفیس، عامه اوریدونکی، میش طبقه یا زاړه سایټ-تر-سایټ تونل — هر یو یې کولای شي هغه لنډه لار بېرته راولي چې همدا اوس مو وتړله۔

بیا هم ProxyJump ترتیب کړئ، ځکه منل شوې لار اسانه کوي او د ورځني کار مخه نیسي چې استثناوې جوړې کړي۔ د باور کولو دمخه تایید کړئ چې کاروونکی په رښتیا څه حل کوي۔

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

په قصد شوې مستقیمې هڅې سره تایید کړئ

هغه تګلاره چې هیڅکله نه ده ازمایل شوې یوه هیله ده۔ له VPN سره تړلي کاروونکي څخه هغه لار وازموئ چې اوس باید رد شي، بیا منل شوې لار وازموئ، او دواړه نتیجې وساتئ۔ رد شوې هڅه هماغه شاهد دی چې بدلون اغیزه کړې۔

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

پاکه پایله د هدف پتې ته د رد شوې یا وخت تیرې شوې مستقیمې اړیکې په څیر ښکاري، چې وروسته یې جنسټ هوسټ ته بریالۍ ننوتنه او د هدف په خوا کې د ملاتړ شوې سرچینې نوم اخیستونکې تصدیق ننوتنه راځي۔ هر بل څه معنا دا ده چې پوله لا هم سوراخ لري، هر څه چې سندونه ووایي۔ نیټه، بدل شوې قاعده او دواړه نتیجې ولیکئ، بیا د بیاځلي ترلاسه کولو لارې ته یو مالک او یوه پای نیټه ورکړئ تر څو بیړنۍ لاسرسی په غلیم ډول ورځنۍ لار نه شي۔