rsync përmes VPN: porta e daemon-it 873 kundrejt modalitetit SSH

Lejimi i TCP 873 në ndërfaqen e tunelit nuk e shtyn rsync përmes OpenVPN, dhe as nuk bën që ana tjetër të pranojë modulin. Një tunel mban një lidhje të brendshme, rregullat e protokollit dhe të destinacionit të së cilës mbeten saktësisht si ishin. Prandaj pyetja e parë nuk është cila portë duhet hapur, por çfarë lloj lidhjeje krijon rsync. Gjithçka më poshtë supozon se tuneli është tashmë aktiv dhe vetëm shërbimi i brendshëm është ende në dyshim.

Përcaktoni çfarë lidhjeje krijon vërtet rsync

Argumenti i largët në komandë zakonisht i përgjigjet asaj pyetjeje përpara çdo ndryshimi në firewall. Dy pika të dyfishta ose një skemë URL zgjedhin daemon-in, ndërsa një dy pika e vetme pas një emri hosti zgjedh një shell të largët. Lexoni argumentin që ekzekutoni vërtet, jo atë të shembullit në dokumentacion.

Një opsion i qartë i shell-it të largët mund ta ndryshojë përsëri përgjigjen, sepse i thotë rsync cili program duhet nisur për transportin. Lexoni të gjithë rreshtin e komandës, përfshirë skriptet mbështjellëse të trashëguara, jo vetëm pjesën e hostit.

Modaliteti daemon: adresa e lidhjes, moduli dhe porta

Në sintaksën e daemon-it, segmenti i rrugës emërton një modul të konfiguruar, jo një drejtori në disk. Fjalëkalimi i modulit kontrollohet vetëm pasi lidhja të jetë pranuar, dhe moduli mund të jetë gjithashtu vetëm-lexim ose i fshehur nga lista. Ky rend ka rëndësi kur lexoni një gabim, sepse një lidhje e refuzuar dhe një modul i refuzuar janë dështime në dy faza të ndryshme. Asnjëra prej mesazheve nuk ju thotë gjë për vetë tunelin.

Një daemon i pavarur mund të fiksohet në adresën e tunelit në skedarin e tij të konfigurimit, gjë që e mban jashtë ndërfaqes publike pa asnjë rregull firewall. Vlera duhet të ekzistojë kur daemon-i lidhet, dhe një dëgjues i aktivizuar nga socket ose i menaxhuar nga inetd mund ta injorojë plotësisht.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Pastaj provoni kundrejt adresës private në vend të emrit publik. Një emër hosti publik zgjidhet në një adresë WAN dhe ndjek një rrugë tjetër, edhe kur një makinë e vetme përgjigjet për të dyja.

rsync --list-only rsync://10.44.0.1/archive/

Modaliteti shell i largët: SSH e mban transferimin

Me një dy pika të vetme, rsync nis një program shell të largët dhe flet protokollin e tij përmes atij kanali, kështu që shërbimi i vetëm i arritshëm është SSH në çdo portë ku dëgjon serveri. Daemon-i i rsync nuk ekzekutohet kurrë, porta 873 është e parëndësishme dhe vendimi i aksesit bëhet vendim llogarie SSH. Rruga e largët është atëherë një rrugë e vërtetë e sistemit të skedarëve që interpretohet nga shell-i në anën tjetër. Kjo është arsyeja pse një ndryshim firewall i drejtuar nga 873 nuk bën absolutisht asgjë për këtë modalitet.

Ai dizajn kërkon një llogari të autorizuar dhe verifikimin e çelësit të hostit, dhe trashëgon politikën e vetë vërtetimit të SSH. Shpesh është zgjedhja më e mirë kur transferimi duhet të kalojë një rrjet jo të besueshëm, sepse kriptimi i përket një protokolli të ndërtuar për këtë. Një daemon me kërkesë fjalëkalimi nuk është e njëjta gjë.

Hapni vetëm rrugën që zgjodhët

Pasi modaliteti të jetë caktuar, lejoni shërbimin e vetëm të brendshëm në ndërfaqen e vetme që mban tunelin. Kufizoni rregullin sipas ndërfaqes, grupit të burimit dhe adresës së destinacionit, në mënyrë që një ndryshim i mëvonshëm i refuzimit si parazgjedhje të mos mund ta zgjerojë në heshtje. Pastaj rishikoni rendin e rregullave, sepse një rregull lejues më herët në zinxhir e bën rregullin e ngushtë thjesht dekorativ.

Nëse daemon-i ekzekutohet në një makinë pas portës VPN dhe jo në portën vetë, porta ka nevojë gjithashtu për një rrugë përcjelljeje dhe objektivi ka nevojë për lejen dhe rrugën e kthimit të vet. Hapja e portës vetëm në portë prodhon një lidhje që pranohet dhe pastaj nuk shkon askund.

Verifikoni nga klienti me të njëjtin modalitet dhe destinacion që synoni të përdorni në prodhim. Një listim i suksesshëm provon së bashku dëgjuesin, rrugën dhe rregullin; një skadim kohe tregon rrugën, dhe një refuzim tregon dëgjuesin.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873