SSH bastión alebo priamy prístup cez VPN: ktorá politika platí?

Otázka, či sa používatelia VPN môžu dostať na servery bez prechodu cez skokového hostiteľa, je otázka politiky v sieťovom kostýme. Ak bastión vykonáva povinnú kontrolu, pripojenie k VPN musí viesť k nemu, nie okolo neho. Ak skokový hostiteľ iba premostil segment, ktorý bol predtým nedostupný, úzka priama cesta môže byť čestnou náhradou. Prejdite kontroly nižšie v poradí a zastavte sa pri prvej, ktorá zlyhá, pretože ten odpoveď rozhoduje o zvyšku.

Skontrolujte, čo bastión skutočne riadi

Začnite dôkazmi o súčasnosti, nie diagramom z návrhového dokumentu. Pozrite sa na SSH konfiguráciu a paketový filter cieľa: ak sa prichádzajúci port 22 prijíma len z adresy bastiónu, skokový hostiteľ je vynútená kontrola. Ak ten istý port prijíma spojenia z celého fondu VPN, bastión bol pohodlím a presadzovanie žije celkom inde. História tiketov zvyčajne potvrdí, ktoré z dvoch existovalo skôr.

Vyjadrite zistenie jednou vetou, ktorá pomenuje kontrolu, ktorú bastión poskytuje: obmedzenie cieľa, druhý krok autentifikácie, nahrávanie relácie alebo prevádzková viditeľnosť počas incidentu. Práve túto vetu musí náhradná politika zachovať.

Skontrolujte, či cieľ rozlíši cesty

Pravidlá zdrojovej adresy fungujú len dovtedy, kým dve cesty prichádzajú s rôznymi zdrojovými adresami. VPN brána, ktorá maskuje prevádzku do podsiete serverov, túto odlišnosť maže, a potom každé pripojenie na port 22 vyzerá, akoby prichádzalo z brány. Kontrola je lokálna na cieli a chvíľu trvá: vypíšte nadviazané SSH relácie a prečítajte adresu protistrany pri každej.

Keď obe cesty splynú do jednej adresy, rozlíšenie sa musí urobiť skôr, a to podľa cieľov, ktoré VPN smie posielať, a podľa vlastných filtrov brány. Pridanie pravidla na cieli v takej situácii vytvára ilúziu hranice bez zmeny toho, čo prichádza.

Skontrolujte, čo každý záznam skutočne obsahuje

Tri rôzne záznamy opisujú tri rôzne udalosti a žiadny nenahrádza iný. Záznam pripojenia VPN ukazuje, že identita vstúpila do sieťového rozsahu. Záznam preposielania bastiónu ukazuje TCP kanál, ktorý ho opúšťa k cieľu a portu. Autentifikačný log cieľa ukazuje, že sa účet prihlásil cez SSH. Až spoločné čítanie vytvára časovú os; čítanie jedného vytvára dohad.

Žiadny z týchto záznamov neobsahuje, čo sa stalo vnútri šifrovanej relácie medzi klientom a cieľom. Ak je revízia na úrovni príkazov požiadavkou, potrebuje zámerne nasadený mechanizmus nahrávania s vlastnými pravidlami nakladania s údajmi. Očakávať to od logov skokového hostiteľa je spôsob, akým auditná medzera zostáva skrytá, kým nezačne prekážať.

Skontrolujte, kde sa politika skutočne presadzuje

Nastavenie klienta ako ProxyJump je požiadavka, nie obmedzenie. OpenSSH ochotne otvorí priame spojenie, keď je cieľ dostupný, takže konfiguračné súbory na notebookoch opisujú zámer, zatiaľ čo firewally rozhodujú o výsledku. Presadzovanie patrí k povoleným cieľom VPN brány a k vlastným prístupovým pravidlám cieľa, a ani jedno používateľ nemôže upraviť. Zároveň auditne prejdite alternatívne cesty: druhé rozhranie, verejný poslucháč, mesh vrstva alebo starší tunel medzi lokalitami môžu každý obnoviť práve zatvorenú skratku.

Napriek tomu ProxyJump nastavte, pretože schválenú trasu robí tou ľahkou a bráni rutinnej práci vytvárať výnimky. Overte, čo klient skutočne prekladá, skôr než mu budete dôverovať.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Overte zámerným priamym pokusom

Politika, ktorá nebola nikdy testovaná, je nádej. Z klienta pripojeného k VPN skúste cestu, ktorá má byť teraz odmietnutá, potom skúste schválenú a oba výsledky si ponechajte. Odmietnutý pokus je dôkazom, že zmena nadobudla účinnosť.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Čistý výsledok vyzerá ako odmietnuté alebo časovo vypršané priame spojenie na adresu cieľa, po ktorom nasleduje úspešné prihlásenie na skokového hostiteľa a autentifikačný záznam na strane cieľa, ktorý pomenúva podporovaný zdroj. Čokoľvek iné znamená, že hranica je stále priepustná, nech dokumentácia tvrdí čokoľvek. Zapíšte dátum, zmenené pravidlo a oba výsledky, potom dajte ceste obnovy vlastníka a dátum vypršania aby sa núdzový prístup ticho nestal každodennou trasou.