SSH бастион или директан приступ преко VPN-а: која политика важи?

Питање да ли корисници VPN-а могу да стигну до сервера без проласка кроз скоковитог домаћина је питање политике обучено у мрежну одећу. Ако бастион обавља обавезну контролу, онда прикључење на VPN мора да води ка њему, а не око њега. Ако је скоковити домаћин само премошћавао сегмент који је раније био недоступан, уска директна путања може бити поштена замена. Извршите провере испод по реду и зауставите се на првој која падне, јер тај одговор одређује остатак.

Проверите чиме бастион заиста управља

Почните од доказа о садашњости, а не од дијаграма из пројектног документа. Погледајте SSH конфигурацију и филтер пакета на циљу: ако се улазни порт 22 прихвата само са адресе бастиона, скоковити домаћин је наметнута контрола. Ако исти порт прихвата везе из целог VPN пула, бастион је био погодност, а примена живи сасвим другде. Историја тикета обично потврђује које је од двоје постојало прво.

Изнесите налаз у једној реченици која именује контролу коју бастион пружа: ограничење одредишта, други корак аутентификације, снимање сесије или оперативна видљивост током инцидента. Управо ту реченицу политика замене мора да сачува.

Проверите да ли циљ разликује путање

Правила изворне адресе раде само док две путање долазе са различитих изворних адреса. VPN пролаз који маскира саобраћај ка подмрежи сервера брише ту разлику, и тада свака веза ка порту 22 изгледа као да долази са пролаза. Провера је локална на циљу и траје тренутак: излистајте успостављене SSH сесије и прочитајте адресу партнера за сваку.

Када се обе путање слеју у једну адресу, разликовање мора да се уради раније: кроз одредишта која VPN сме да шаље и кроз сопствене филтере пролаза. Додавање правила на циљу у таквој ситуацији ствара илузију границе без промене онога што стиже.

Проверите шта сваки запис заиста чува

Три различита дневника описују три различита догађаја и ниједан не замењује други. Запис о вези VPN-а показује да је идентитет ушао у мрежни обим. Запис о прослеђивању бастиона показује TCP канал који га напушта ка одредишту и порту. Дневник аутентификације циља показује да се налог пријавио преко SSH-а. Заједничко читање даје временску линију; читање само једног даје претпоставку.

Ниједан од тих записа не садржи оно што се догодило унутар шифроване сесије између клијента и циља. Ако је преглед на нивоу команди обавезан, потребан је намерно постављен механизам снимања са сопственим правилима обраде података. Очекивати то од дневника скоковитог домаћина је начин на који рупа у ревизији остаје скривена док не постане важна.

Проверите где се политика заиста примењује

Подешавање клијента попут ProxyJump је захтев, не ограничење. OpenSSH ће радо отворити директну везу када је одредиште достижно, па конфигурационе датотеке на преносним рачунарима описују намеру, док заштитни зидови одлучују о исходу. Примена припада дозвољеним одредиштима VPN пролаза и сопственим правилима приступа циља, а корисник не може да уређује ни једно ни друго. Истовремено ревидирајте алтернативне путање: други интерфејс, јавни слушалац, mesh слој или старији тунел између локација могу сваки да врате пречицу коју сте управо затворили.

Ипак конфигуришите ProxyJump, јер одобрену руту чини лаком и спречава рутински рад да ствара изузетке. Потврдите шта клијент заиста разрешава пре него што му поверите.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Проверите намерним директним покушајем

Политика која никада није тестирана је нада. Са клијента прикљученог на VPN покушајте путању која сада треба да буде одбијена, затим покушајте одобрену и сачувајте оба резултата. Одбијени покушај је доказ да је промена ступила на снагу.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Чист резултат изгледа као одбијена или истекла директна веза ка адреси циља, након чега следи успешна пријава на скоковитог домаћина и запис аутентификације на страни циља који именује подржани извор. Све друго значи да је граница још порозна, шта год документација тврдила. Запишите датум, измењено правило и оба исхода, затим дајте путањи опоравка власника и рок трајања како хитни приступ не би тихо постао свакодневна рута.