Bastion SSH ama gelitaan VPN toos ah: siyaasadee ayaa khuseysa?

Haddii isticmaalayaasha VPN ay gaari karaan server-yada iyada oo aan dhaafin jid-ka-boodka waa su’aal siyaasad oo labbisata dharka shabakadda. Haddii bastionku sameeyo xakameyn loo baahan yahay, ku biirista VPN waa in ay u horseeddo isaga oo aan ka hor gudbin. Haddii jid-ka-boodku uun isku xiro qayb hore aan la gaari karin, waddo toos ah oo cidhiidhi ah ayaa noqon karta beddelka daacad ah. Samee hubinnada hoose si kala hor leh oo ku joogso tan ugu horreysa ee guuldareysata, maxaa yeelay jawaabtaas ayaa go’aamisa inta kale.

Hubi waxa bastionku si dhab ah u xakameeyo

Ku bilow caddaymo ku saabsan xaaladda hadda, ee ha ku bilow jaantus ka socda dukumeentiga naqshadeynta. Fiiri qaabeynta SSH iyo shaandheynta baakadaha bartilmaameedka: haddii dekedda 22 ee soo gasha laga aqbalo oo kaliya cinwaanka bastionka, jid-ka-boodku waa xakameyn lagu qasbay. Haddii isla dekeddaas ay aqbasho isku xirka dhammaan barkada VPN, bastionku wuxuu ahaa fududeyn oo dhaqangelintu meel kale gebi ahaan bay ku nooshahay. Taariikhda tigidhada ayaa badanaa xaqiijisa midka labada ka horreeyay.

Ku sheeg natiijada hal jumlad oo magacaabaysa xakameynta uu bastionku bixiyo: xaddidaadda gaarista, tallaabada labaad ee aqoonsiga, duubista fadhiga, ama aragtida hawlgalka inta lagu jiro dhacdo. Jumladaas ayaa ah tan siyaasadda beddelka ay tahay in ay ilaaliso.

Hubi haddii bartilmaameedku kala garto waddooyinka

Xeerarka cinwaanka isha waxay shaqeeyaan oo kaliya inta labada waddo ay yimaadaan cinwaanno isha oo kala duwan. Albaabka VPN ee qariya taraafikada ee xagga shabakadda hoose ee server-yada ayaa tirtira farqigaas, markaasna isku xir kasta oo dekedda 22 u socda wuxuu u muuqdaa mid ka yimid albaabka. Hubintu waa maxalli bartilmaameedka oo waxay qaadanaysaa daqiiqad: liis garsoor fadhiyada SSH ee la aasaasay oo akhri cinwaanka dhigga mid kasta.

Marka labada waddo ay ku dumaan hal cinwaan, kala soocidda waa in horay loo sameeyaa: iyada oo loo marayo meelaha VPN loo oggol yahay in uu riixo iyo shaandhaynta albaabka laftiisa. Ku darista xeer bartilmaameedka xaaladdaas waxay abuurtaa khiyaali xad la’aan beddelin waxa soo gaaraya.

Hubi waxa diiwaan kastu si dhab ah u hayo

Saddex diiwaan oo kala duwan ayaa sharraxaya saddex dhacdo oo kala duwan, midna ma beddelo midka kale. Diiwaanka isku xirka VPN wuxuu muujinayaa in aqoonsi galay baaxadda shabakadda. Diiwaanka gudbinta bastionku wuxuu muujinayaa kanaal TCP oo ka baxaya xagga gaaritaanka iyo dekedda. Diiwaanka aqoonsiga bartilmaameedku wuxuu muujinayaa in akoonku ku galay SSH. Iyaga oo wada akhrinta ayaa abuurta khadka waqtiga; hal kelidii akhrinta waxay abuurtaa mala-awaal.

Mid ka mid ah diiwaannadaas ma hayo waxa ku dhacay gudaha fadhiga sirta ah ee u dhexeeya macmiilka iyo bartilmaameedka. Haddii dib-u-eegista heerka amar loo baahan yahay, waxay u baahan tahay hab duubis si ula kac ah loo dhigay oo leh xeerarkiisa maaraynta xogta. Filashada taas diiwaannada jid-ka-boodka waa sida farqiga hanti-dhawrka uu qarsoodi u ahaanayo ilaa uu muhiim noqdo.

Hubi halka siyaasadda si dhab ah loo dhaqangeliyo

Dejinta macmiilka sida ProxyJump waa codsi, ma aha xaddidaad. OpenSSH wuxuu si farxad leh u furi doonaa isku xir toos ah marka gaaritaanka la gaari karo, sidaas darteed faylasha qaabeynta ee laptop-yada waxay sharraxaan ujeedka halka dab-damisyada go’aamiyaan natiijada. Dhaqangelintu waxay ka tirsan tahay meelaha la oggol yahay ee albaabka VPN iyo xeerarka gelitaanka bartilmaameedka laftiisa, oo isticmaaluhu ma tafatiri karo midkoodna. Isla markaas baadh waddooyinka kale: interface labaad, dhegeyste dadweyne, lakab mesh ama tunnel hore oo u dhexeeya goobaha mid kastaa wuxuu soo celin karaa waddada gaaban ee aad hadda xidhay.

Si kastaba ha ahaatee habee ProxyJump, maxaa yeelay wuxuu sahlayaa waddada la ansixiyay oo ka hortagaa in shaqada caadiga ah ay abuurto ka-reebitaanno. Xaqiiji waxa macmiilku si dhab ah u xalliyo ka hor inta aanad aaminin.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Ku xaqiiji isku day toos ah oo ula kac ah

Siyaasad aan waligeed la tijaabin waa rajo. Macmiil ku xiran VPN, isku day waddada hadda la diidi karo, ka dib isku day tan la ansixiyay, oo hayso labada natiijo. Isku dayga la diiday waa caddaynta in isbeddelku dhaqan galay.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Natiijo nadiif ah waxay u egtahay isku xir toos ah oo la diiday ama waqti ka baxay oo u socda cinwaanka bartilmaameedka, ka dib gelitaan guul leh oo jid-ka-boodka iyo diiwaan aqoonsi oo dhinaca bartilmaameedka ah oo magacaabaya isha la taageeray. Wax kasta oo kale waxay ka dhigan tahay in xadku weli dalool leeyahay, wax kasta oo dukumeentigu yidhaahdo. Qor taariikhda, xeerka la beddelay iyo labada natiijo, ka dib sii waddada soo kabashada milkiile iyo taariikh dhicitaan si gelitaanka degdegga ah uusan si aamusnaan ah u noqon waddada maalinlaha ah.