Hayso SSH maxalli ah marka martigeliyuhu isticmaalo VPN baxa

Server Linux yar wuxuu u isticmaalaa VPN baxa barnaamijka uu martigeliyo, maamuluhuna wali wuxuu rabaa inuu ku gaaro SSH isagoo ka imanaya miiska ku xiga. Taasi waa dalab macquul ah, badiyaa waxay u baahan tahay dirista dekedda, cinwaanka bixiyaha ama dalool ku jira tunnel-ka midna. Waxa ay u baahan tahay waa wado maamul oo si ula kac ah loo qorsheeyay halkii laga dhaxli lahaa waxa macmiilka VPN-ga ku sameeyay shaxda marinka.

Tallaabooyinka hoose waxay u malaynayaan in maamuluhu ku jiro isla LAN-kaas.Maamulka fog waa dhibaato kale oo jawaab kale leh.

Xir SSH cinwaanka maamulayaashu isticmaalaan

Ka bilow dhageystaha.ss -ltnp | grep :22 wuxuu muujinayaa waxa sshd ku xiran yahay, dhageystaha 0.0.0.0-na wuxuu aqbalaa xiriirka interface kasta, oo ay ku jirto tunnel-ka. Ku xirnaanta cinwaanka LAN ayaa ka cidhiidhi badan oo ujeeddada ka dhigta mid muuqata:ListenAddress 192.168.10.20 gudaha sshd_config, ka dib imtixaan habaynta iyo dib u rarid. Khalad qoraal oo cinwaankaas ku jira ayaa ka muuqda wildcard, sababtoo ah sshd wuu diidayaa inuu bilaabo marka cinwaanku aanu jirin.

Hayso hubinta furaha martigeliyaha iyo aqoonsiga isticmaale kasta sida ay yihiin. „Waa shabakadda maxalliga ah oo keliya“ ma aha hab aqoonsi, kanaalka maamul ee dhaafi doona hubinta furaha sababtoo ah wadadu gaaban tahay waa kanaal maamul oo sugaya xadgudub. Kaydka DHCP ama cinwaan taagan ayaa bartilmaameedka ka dhigta mid la saadaalin karo isagoo aan ka dhigin aqoonsiga dadweynaha ee server-ka.

Hayso wadada LAN banaanka tunnel-ka

Martigeliyaha cinwaankiisu ku jiro 192.168.10.0/24 wuxuu leeyahay wado isku xiran oo loogu talagalay mudnaantaas, wadada gaar ahina waxay ka adkaataa tan caadiga ah ee VPN isla shaxdaas. Taasi waa sababta SSH maxalli ah uu inta badan si iskiis ah u sii shaqeeyo marka tunnel-ku kor u kaco. Hubi taas halkii aad ka malayn lahayd:ip route get 192.168.10.50 wuxuu magacaabaa interface-ka iyo cinwaanka isha ee kernel-ku isticmaali lahaa, jawaabtuna waa inay tahay qalabka LAN, ma aha tunnel-ka. Ku celi hubinta mishiinka maamuluhana, sababtoo ah shaxdiisa ayaa go'aaminaysa in xirmooyinku yimaadaan iyo inkasta. Laba martigeliyeyaal isla fiil ah waxay ku kala duwanaan karaan jihada la gaari karo.

Male-awaalku wuxuu ka jabtaa laba meelood. Qaanuunka marinka ku salaysan siyaasadda wuxuu u diri karaa socodka shax uu tan caadiga ah u jeeddo tunnel-ka ka hor inta aan shaxda weyn la eegin. Macmiilka VPN oo leh astaan xidhmo ama kill switch wuxuu sidoo kale xannibi karaa socodka aan galin tunnel-ka, iyadoon loo eegin waxa shaxda marinku sheegto.

VLAN-yada maamulka ee la maro waa kiiska kale. Haddii maamuluhu ku fadhiisto 192.168.50.0/24 gadaashiisa router-ka maxalliga ah, server-ku wuxuu u baahan yahay wado cad oo mudnaantaas loo maro 192.168.10.1, wadadaasna waa inay ka badbaaddo dib u xiriir. Hayso ka-reebka mid gaar u ah mudnaanta maamulka; ka-reeb ballaaran oo loogu talagalay xadka gaarka ah wuxuu burinayaa ujeeddada tunnel-ka.

Ka dhig ka-reebka darbiga dabka mid cidhiidhi ah sida qaanuunka

Haddii martigeliyuhu leeyahay derbi dab, u oggolow SSH oo keliya isha maamulka oo keliya interface-ka LAN. Qaanuunka u oggolaanaya dekedda 22 meel kasta wuu ka ballaaran yahay dalabka, wayna adag tahay in lagu caddeeyo dib u eegis. Martigeliye nftables qaanuunku wuxuu ku jiraa silsiladda gelitaanka isagoo interface-ka iyo isha la mid ah; martigeliye iptables waxa u dhigma waa laba isku-bixin oo ku saabsan -i iyo -s. Faallo ku qor qaanuunka kooxda maamulayaasha uu u adeego, si aan dib u eegista xigta u baahnayn inay qiyaasto sababta dekedda 22 u furan tahay.

Sidoo kale hubi shaandhada macmiilka VPN-ga. Macmiillyada qaarkood waxay rakibaan qaanuunno si nashqadeed u tuuraya socodka maxalliga ah, qaanuun derbi dab oo sax ah oo ka sarreeya tuurista heerka macmiilka waxba ma beddelo. Akhri habaynta macmiilka ka hor inta aadan wax ka beddelin derbiga dabka martigeliyaha, sababtoo ah laba shaandho oo isku xigta waxay soo saaraan cilad aan u ekaan midkoodna.

Tijaabi labada xaaladood

Socodsii imtixaanka laba jeer: mar tunnel-ku xiran yahay iyo mar uu go'an yahay. Xaalad kasta, xaqiiji dhageystaha, wadada iyo gelitaan SSH dhab ah oo ka yimid mishiinka maamulaha. Wado kaliya shaqeeya inta tunnel-ku sarreeyo ma aha wado maamul maxalli ah; waa shil.

Kadib dib u bilaaw tunnel-ka inta fadhi SSH furan yahay. Fadhiga badbaadaa wuxuu caddeeyaa in marinku xasilloon yahay; fadhiga dhacaa wuxuu kuu sheegaa in macmiilku dib u xiriirka ku qorayo marinnada ama shaandhooyinka, taas oo mudan in la ogaado shil ka hor, ma aha inta uu socdo.

Qor cinwaanka isha ee aad ka tijaabisay, sababtoo ah qaanuunka loo qoray 192.168.10.50 ayaa si aamusan u guuldareysta marka laptop-ka maamuluhu u guuro subnet kale.

Ku qor wadada soo kabashada runbook-ka

Hadda go'aanso waxa dhacaya haddii VPN baxa uu jebiyo wadada maxalliga ah. Gelitaanka console, cinwaan maamul oo labaad, ama hab dukumeenti loo joojiyo macmiilka dhammaantood waa jawaabo sharci ah, mid kastaana wuu ka fiican yahay in dhibaatada la ogaado waqtiga aad u baahan tahay inaad gasho. Haddii server-ku fog yahay, wadada maxalliga ah ma jirto, nashqada saxda ahina waa wado gelitaan fog oo la ansixiyay oo gooni ah ama bastion halkii deked dadweyne oo banaan.

Ku hay labada door oo gooni ah dukumeentiga: SSH maxalli ah maamulaha ku dhow, iyo tunnel-ka baxa ee socodka barnaamijka. Marka doorarkaas la qoro, isbeddel mustaqbalka ah oo midkoodna ku yimaadaa wuxuu leeyahay meel cad oo lagu hubiyo, qofka xigana uma baahna inuu dib u ogaado sababta server leh VPN uu wali uga jawaabo cinwaankiisa LAN.