Bastion SSH apo qasje e drejtpërdrejtë VPN: cila politikë zbatohet?

Nëse përdoruesit e VPN mund të arrijnë serverët pa kaluar një host kërcimi është një çështje politike e veshur si rrjet. Nëse bastioni kryen një kontroll të detyrueshëm, atëherë hyrja në VPN duhet të të çojë drejt tij dhe jo t’i shmangë. Nëse hosti i kërcimit thjesht urëzonte një segment që më parë ishte i paarritshëm, një rrugë e drejtpërdrejtë e ngushtë mund të jetë zëvendësimi i ndershëm. Kryeni kontrollet më poshtë me radhë dhe ndaloni te i pari që dështon, sepse ai përgjigje vendos për pjesën tjetër.

Kontrolloni çfarë kontrollon bastioni në të vërtetë

Filloni me dëshmi për të tashmen, jo me një diagram nga dokumenti i projektimit. Shikoni konfigurimin SSH dhe filtrin e paketave të objektivit: nëse porta 22 hyrëse pranohet vetëm nga adresa e bastionit, hosti i kërcimit është një kontroll i imponuar. Nëse e njëjta portë pranon lidhje nga i gjithë grupi VPN, bastioni ishte thjesht komoditet dhe zbatimi jeton diku krejt tjetër. Historiku i tiketave zakonisht konfirmon cila nga të dyja ekzistonte më parë.

Formuloni gjetjen në një fjali që emërton kontrollin që ofron bastioni: kufizim destinacioni, një hap i dytë vërtetimi, regjistrim sesioni ose dukshmëri operacionale gjatë një incidenti. Pikërisht kjo fjali është ajo që politika zëvendësuese duhet të ruajë.

Kontrolloni nëse objektivi i dallon rrugët

Rregullat e adresës burimore funksionojnë vetëm për sa kohë dy rrugët vijnë me adresa burimore të ndryshme. Një portë VPN që maskon trafikun drejt nënrrjetit të serverëve e fshin atë dallim, dhe atëherë çdo lidhje me portën 22 duket sikur vjen nga porta. Kontrolli është lokal në objektiv dhe zgjat një çast: renditni sesionet SSH të vendosura dhe lexoni adresën e palës për secilin.

Kur të dyja rrugët shemben në një adresë të vetme, dallimi duhet bërë më herët, nga destinacionet që VPN-së i lejohet të shtyjë dhe nga filtrat e vetë portës. Shtimi i një rregulli në objektiv në atë situatë krijon iluzionin e një kufiri pa ndryshuar atë që mbërrin.

Kontrolloni çfarë mban në të vërtetë çdo regjistrim

Tre regjistra të ndryshëm përshkruajnë tre ngjarje të ndryshme dhe asnjëri nuk zëvendëson tjetrin. Regjistri i lidhjes së VPN tregon se një identitet hyri në fushën e rrjetit. Regjistri i përcjelljes së bastionit tregon një kanal TCP që e lë drejt një destinacioni dhe porte. Regjistri i vërtetimit të objektivit tregon se një llogari u identifikua përmes SSH. Është leximi i tyre së bashku që prodhon një vijë kohore; leximi i vetëm njërit prodhon një hamendje.

Asnjëri prej këtyre regjistrave nuk përmban çfarë ndodhi brenda sesionit të kriptuar mes klientit dhe objektivit. Nëse rishikimi në nivel komande është kërkesë, ai ka nevojë për një mekanizëm regjistrimi të vendosur qëllimisht, me rregullat e veta të trajtimit të të dhënave. Të presësh këtë nga regjistrat e hostit të kërcimit është mënyra se si një boshllëk auditimi mbetet i fshehur derisa të ketë rëndësi.

Kontrolloni ku zbatohet politika në të vërtetë

Një cilësim klienti si ProxyJump është një kërkesë, jo një kufizim. OpenSSH do të hapë me kënaqësi një lidhje të drejtpërdrejtë kur destinacioni është i arrirshëm, prandaj skedarët e konfigurimit në laptopë përshkruajnë qëllimin ndërsa muret e zjarrit vendosin rezultatin. Zbatimi i takon destinacioneve të lejuara të portës VPN dhe rregullave të qasjes të vetë objektivit, dhe përdoruesi nuk mund të modifikojë asnjërën. Audito njëkohësisht rrugët alternative: një ndërfaqe e dytë, një dëgjues publik, një shtresë mesh ose një tunel i vjetër mes lokacioneve mund secili të rivendosë shkurtoren që sapo mbyllët.

Konfiguroni gjithsesi ProxyJump, sepse e bën rrugën e miratuar atë të lehtën dhe pengon punën rutinë të krijojë përjashtime. Konfirmoni çfarë zgjidh në të vërtetë klienti përpara se t’i besoni.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Verifikoni me një përpjekje të drejtpërdrejtë të qëllimshme

Një politikë që nuk është testuar kurrë është një shpresë. Nga një klient i lidhur me VPN, provoni rrugën që tani duhet të refuzohet, pastaj provoni atë të miratuar, dhe mbani të dyja rezultatet. Përpjekja e refuzuar është prova se ndryshimi hyri në fuqi.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Një rezultat i pastër duket si një lidhje e drejtpërdrejtë e refuzuar ose e skaduar drejt adresës së objektivit, e ndjekur nga një hyrje e suksesshme në hostin e kërcimit dhe një zë vërtetimi në anën e objektivit që emërton burimin e mbështetur. Çdo gjë tjetër do të thotë që kufiri është ende i porshtë, çfarëdo që thotë dokumentacioni. Shënoni datën, rregullin e ndryshuar dhe të dyja rezultatet, pastaj jepini rrugës së rikuperimit një pronar dhe një datë skadimi që qasja e urgjencës të mos bëhet në heshtje rruga e përditshme.