Bastion SSH ali neposreden dostop prek VPN: katera politika velja?

Ali lahko uporabniki VPN dosežejo strežnike brez prečkanja skočnega gostitelja, je vprašanje politike v omrežni preobleki. Če bastion izvaja zahtevani nadzor, mora priključitev na VPN voditi k njemu in ne okoli njega. Če je skočni gostitelj samo premostil segment, ki je bil prej nedosegljiv, je ozka neposredna pot lahko poštena zamenjava. Izvedite spodnja preverjanja po vrsti in ustavite se pri prvem, ki spodleti, ker ta odgovor odloči o ostalem.

Preverite, kaj bastion v resnici nadzoruje

Začnite z dokazi o sedanjosti, ne z diagramom iz načrtovalskega dokumenta. Poglejte konfiguracijo SSH in paketni filter cilja: če je vhodna vrata 22 sprejeta le z naslova bastiona, je skočni gostitelj vsiljen nadzor. Če ista vrata sprejemajo povezave iz celotnega nabora VPN, je bil bastion udobje in uveljavljanje živi povsem drugje. Zgodovina zahtev običajno potrdi, katero od obeh je obstajalo prvo.

Ugotovitev izrazite v enem stavku, ki poimenuje nadzor, ki ga bastion zagotavlja: omejitev cilja, drugi korak preverjanja pristnosti, snemanje seje ali operativna vidnost med incidentom. Prav ta stavek mora politika zamenjave ohraniti.

Preverite, ali cilj razlikuje poti

Pravila izvornega naslova delujejo le, dokler poti prihajata z različnima izvornima naslovoma. Prehod VPN, ki maskira promet do podomrežja strežnikov, to razliko izbriše, in takrat se zdi, da vsaka povezava na vrata 22 prihaja s prehoda. Preverjanje je lokalno na cilju in traja trenutek: naštejte vzpostavljene seje SSH in preberite naslov partnerja za vsako.

Ko se obe poti zlijeta v en naslov, je treba razlikovanje narediti prej: s cilji, kamor sme VPN potiskati promet, in z lastnimi filtri prehoda. Dodajanje pravila na cilju v takem položaju ustvari iluzijo meje, ne da bi spremenilo, kar prispe.

Preverite, kaj vsak zapis v resnici hrani

Trije različni dnevniki opisujejo tri različne dogodke in noben ne nadomešča drugega. Zapis o povezavi VPN pokaže, da je identiteta vstopila v omrežno območje. Zapis o posredovanju bastiona pokaže kanal TCP, ki ga zapušča proti cilju in vratom. Dnevnik preverjanja pristnosti cilja pokaže, da se je račun prijavil prek SSH. Prav skupno branje ustvari časovnico; branje enega samega ustvari domnevo.

Noben od teh zapisov ne vsebuje tega, kar se je zgodilo znotraj šifrirane seje med odjemalcem in ciljem. Če je pregled na ravni ukazov zahteva, potrebuje namerno nameščen mehanizem snemanja z lastnimi pravili ravnanja s podatki. Pričakovati to od dnevnikov skočnega gostitelja je način, kako revizijska vrzel ostane skrita, dokler ne postane pomembna.

Preverite, kje se politika v resnici uveljavlja

Nastavitev odjemalca, kakršna je ProxyJump, je zahteva, ne omejitev. OpenSSH bo z veseljem odprl neposredno povezavo, ko je cilj dosegljiv, zato konfiguracijske datoteke na prenosnikih opisujejo namero, medtem ko požarni zidovi odločajo o izidu. Uveljavljanje sodi k dovoljenim ciljem prehoda VPN in k lastnim pravilom dostopa cilja, in uporabnik ne more urejati ne enega ne drugega. Hkrati revidirajte alternativne poti: drug vmesnik, javni poslušalec, plast mesh ali starejši tunel med lokacijami lahko vsak obnovi pravkar zaprto bližnjico.

Vseeno nastavite ProxyJump, ker naredi odobreno pot lahko in prepreči, da bi rutinsko delo ustvarjalo izjeme. Potrdite, kaj odjemalec v resnici razreši, preden mu zaupate.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Preverite z namernim neposrednim poskusom

Politika, ki ni bila nikoli preizkušena, je upanje. Z odjemalca, priključenega na VPN, poskusite pot, ki bi morala biti zdaj zavrnjena, nato poskusite odobreno, in obdržite oba izida. Zavrnjeni poskus je dokaz, da je sprememba začela veljati.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Čist izid je videti kot zavrnjena ali časovno potekla neposredna povezava na naslov cilja, ki ji sledi uspešna prijava na skočnega gostitelja in vnos preverjanja pristnosti na strani cilja, ki poimenuje podprti vir. Karkoli drugega pomeni, da je meja še vedno porozna, kar koli pravi dokumentacija. Zapišite datum, spremenjeno pravilo in oba izida, nato dajte poti obnovitve lastnika in datum poteka da nujni dostop ne postane tiho vsakodnevna pot.