SSH-bastion eller direkt VPN-åtkomst: vilken policy gäller?

Om VPN-användare kan nå servrar utan att passera en språngvärd är en policyfråga i nätverkskläder. Om bastionen utför en nödvändig kontroll måste anslutningen till VPN leda dit och inte runt den. Om språngvärden bara överbryggade ett segment som tidigare var oåtkomligt kan en smal direkt väg vara den ärliga ersättningen. Arbeta igenom kontrollerna nedan i ordning och stanna vid den första som fallerar, eftersom det svaret avgör resten.

Kontrollera vad bastionen faktiskt styr

Börja med bevis om nuläget, inte med ett diagram från designdokumentet. Titta på målets SSH-konfiguration och paketfilter: om inkommande port 22 bara accepteras från bastionens adress är språngvärden en påtvingad kontroll. Om samma port accepterar anslutningar från hela VPN-poolen var bastionen en bekvämlighet och upprätthållandet bor någon helt annanstans. Ärendehistoriken bekräftar oftast vilken av de två som fanns först.

Formulera fyndet i en mening som namnger den kontroll bastionen ger: destinationsbegränsning, ett andra autentiseringssteg, sessionsinspelning eller operativ synlighet under en incident. Det är den meningen ersättningspolicyn måste bevara.

Kontrollera om målet kan skilja vägarna åt

Regler för källadress fungerar bara så länge de två vägarna anländer med olika källadresser. En VPN-gateway som maskerar trafik till servernätet suddar ut den skillnaden, och då ser varje anslutning till port 22 ut att komma från gatewayen. Kontrollen är lokal på målet och tar ett ögonblick: lista de etablerade SSH-sessionerna och läs peer-adressen för varje.

När båda vägarna faller samman till en adress måste skillnaden göras tidigare, genom vilka destinationer VPN:et får skicka till och genom gatewayens egna filter. Att lägga till en regel på målet i den situationen skapar en illusion av gräns utan att ändra vad som anländer.

Kontrollera vad varje post egentligen innehåller

Tre olika loggar beskriver tre olika händelser och ingen av dem ersätter en annan. VPN:ets anslutningspost visar att en identitet gick in i nätverksomfånget. Bastionens vidarebefordringspost visar en TCP-kanal som lämnar den mot en destination och port. Målets autentiseringslogg visar att ett konto loggade in över SSH. Det är att läsa dem tillsammans som ger en tidslinje; att läsa en ensam ger en gissning.

Ingen av dessa poster innehåller vad som hände inne i den krypterade sessionen mellan klient och mål. Om granskning på kommandonivå är ett krav behövs en medvetet utplacerad inspelningsmekanism med egna regler för datahantering. Att förvänta sig det från språngvärdens loggar är sättet en granskningslucka förblir dold tills den spelar roll.

Kontrollera var policyn faktiskt upprätthålls

En klientinställning som ProxyJump är en begäran, inte en begränsning. OpenSSH öppnar gärna en direkt anslutning när destinationen är nåbar, så konfigurationsfiler på bärbara datorer beskriver avsikten medan brandväggar avgör utfallet. Upprätthållandet hör till VPN-gatewayens tillåtna destinationer och till målets egna åtkomstregler, och ingen av dem kan användaren redigera. Granska samtidigt de alternativa vägarna: ett andra gränssnitt, en offentlig lyssnare, ett mesh-lager eller en äldre plats-till-plats-tunnel kan var och en återställa genvägen du just stängde.

Konfigurera ändå ProxyJump, för det gör den godkända vägen till den enkla och hindrar rutinarbete från att skapa undantag. Bekräfta vad klienten faktiskt löser upp innan du litar på den.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Verifiera med ett medvetet direkt försök

En policy som aldrig testats är ett hopp. Från en klient ansluten till VPN:et, försök den väg som nu borde nekas, försök sedan den godkända, och behåll båda resultaten. Det nekade försöket är beviset på att ändringen trädde i kraft.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Ett rent resultat ser ut som en nekad eller tidsavbruten direkt anslutning till måladdressen, följd av en lyckad inloggning på språngvärden och en autentiseringspost på målsidan som namnger den stödda källan. Allt annat betyder att gränsen fortfarande är porös, vad dokumentationen än säger. Anteckna datumet, regeln som ändrades och de två resultaten, och ge återställningsvägen en ägare och ett utgångsdatum så att nödåtkomst inte tyst blir den dagliga vägen.