Baki na SSH ya ndani wakati mwenyeji anatumia VPN inayotoka

Seva ndogo ya Linux inatumia VPN inayotoka kwa programu inayoiendesha, na msimamizi bado anataka kuifikia kwa SSH kutoka dawati jirani. Hilo ni hitaji la busara, na kwa kawaida hahitaji uelekezaji wa bandari, anwani ya mtoa huduma wala shimo kwenye tunnel. Inachohitaji ni njia ya usimamizi iliyoundwa kwa makusudi badala ya kurithi kile ambacho mteja wa VPN alifanya kwenye jedwali la njia.

Hatua zilizo hapa chini zinachukulia kuwa msimamizi yuko kwenye LAN moja.Usimamizi wa mbali ni tatizo lingine lenye jibu lingine.

Funga SSH kwenye anwani ambayo wasimamizi wanatumia

Anza na kipokezi.ss -ltnp | grep :22 inaonyesha kile sshd imefungwa nacho, na kipokezi kwenye 0.0.0.0 kinapokea miunganisho kutoka kila kiolesura, ikiwa ni pamoja na tunnel. Kufunga kwenye anwani ya LAN ni nyembamba zaidi na kunaifanya nia ionekane:ListenAddress 192.168.10.20 ndani ya sshd_config, ikifuatiwa na jaribio la usanidi na upakiaji upya. Makosa ya kuandika kwenye anwani hiyo yanaonekana zaidi kuliko wildcard, kwa sababu sshd kinakataa kuanza wakati anwani haipo.

Weka ukaguzi wa ufunguo wa mwenyeji na uthibitishaji wa kila mtumiaji jinsi ulivyo. „Ni mtandao wa ndani tu“ si njia ya uthibitishaji, na kituo cha usimamizi kinachoruka ukaguzi wa ufunguo kwa sababu njia ni fupi ni kituo kinachosubiri unyanyasaji. Uhifadhi wa DHCP au anwani isiyobadilika hufanya lengo lieleweke bila kuifanya kuwa utambulisho wa umma wa seva.

Weka njia ya LAN nje ya tunnel

Mwenyeji mwenye anwani kwenye 192.168.10.0/24 ana njia iliyounganishwa kwa kiambishi hicho, na njia mahususi zaidi inashinda ile chaguo-msingi ya VPN ndani ya jedwali moja. Ndiyo sababu SSH ya ndani mara nyingi huendelea kufanya kazi yenyewe wakati tunnel inapanda. Thibitisha hilo badala ya kudhani:ip route get 192.168.10.50 inataja kiolesura na anwani ya chanzo ambayo kernel ingetumia, na jibu linapaswa kuwa kifaa cha LAN, si tunnel. Rudia ukaguzi kutoka kwenye mashine ya msimamizi pia, kwa sababu jedwali lake mwenyewe huamua kama pakiti zinafika kabisa. Wenyeji wawili kwenye waya moja wanaweza kutokubaliana kuhusu mwelekeo gani unafikiwa.

Dhana huvunjika mahali pawili. Kanuni ya uelekezaji inayotegemea sera inaweza kutuma trafiki kwenye jedwali ambalo chaguo-msingi lake linaelekeza ndani ya tunnel kabla ya jedwali kuu kushauriwa. Mteja wa VPN mwenye kipengele cha kufunga au kill switch anaweza pia kuzuia trafiki isiyoingia kwenye tunnel, bila kujali jedwali la njia linasema nini.

VLAN za usimamizi zilizoelekezwa ni kisa kingine. Ikiwa msimamizi amekaa kwenye 192.168.50.0/24 nyuma ya router ya ndani, seva inahitaji njia iliyo wazi kwa kiambishi hicho kupitia 192.168.10.1, na njia hiyo lazima istahimili muunganisho upya. Weka ubaguzi mahususi kwa kiambishi cha usimamizi; ubaguzi mpana kwa safu za kibinafsi huharibu madhumuni ya tunnel.

Fanya ubaguzi wa firewall kuwa nyembamba kama kanuni

Ikiwa mwenyeji anaendesha firewall, ruhusu SSH tu kutoka chanzo cha usimamizi na tu kwenye kiolesura cha LAN. Kanuni inayoruhusu bandari 22 kutoka kila mahali ni pana kuliko hitaji na ni vigumu kuihalalisha kwenye mapitio. Kwenye mwenyeji wa nftables kanuni ni ya mnyororo wa pembejeo ikiwa kiolesura na chanzo vimelingana; kwenye mwenyeji wa iptables kifani ni jozi ya ulinganisho kwenye -i na -s. Toa maoni kwenye kanuni na kikundi cha wasimamizi ambacho inawahudumia, ili ukaguzi unaofuata usilazimike kukisia kwa nini bandari 22 iko wazi.

Kagua pia kichujio cha mteja wa VPN yenyewe. Wateja wengine husakinisha kanuni zinazotupa trafiki ya ndani kwa muundo, na kanuni sahihi ya firewall juu ya utupaji wa ngazi ya mteja haibadilishi chochote. Soma usanidi wa mteja kabla ya kuhariri firewall ya mwenyeji, kwa sababu vichujio viwili mfululizo huzalisha hitilafu isiyofanana na kimoja wao.

Jaribu hali zote mbili

Endesha jaribio mara mbili: mara moja tunnel ikiwa imeunganishwa na mara moja ikiwa imekatwa. Katika kila hali, thibitisha kipokezi, njia na kuingia halisi kwa SSH kutoka kwenye mashine ya msimamizi. Njia inayofanya kazi tu wakati tunnel iko juu si njia ya usimamizi wa ndani; ni bahati.

Kisha anzisha tunnel upya wakati kikao cha SSH kiko wazi. Kikao kinachodumu kinathibitisha kuwa uelekezaji ni thabiti; kikao kinachoanguka kinakuambia mteja anaandika upya njia au vichujio wakati wa kuunganisha upya, jambo ambalo ni vyema kujua kabla ya tukio na si wakati wa tukio.

Andika anwani ya chanzo uliyojaribia, kwa sababu kanuni iliyoandikwa kwa 192.168.10.50 hushindwa kimya wakati kompyuta ya mkononi ya msimamizi inahamia subnet nyingine.

Andika njia ya urejeshaji kwenye runbook

Amua sasa nini kitatokea ikiwa VPN inayotoka itavunja njia ya ndani. Ufikiaji wa konsoli, anwani ya pili ya usimamizi au utaratibu ulioandikwa wa kusimamisha mteja zote ni majibu halali, na yoyote kati yao ni bora kuliko kugundua tatizo wakati unahitaji kuingia. Ikiwa seva iko mbali, njia ya ndani haipo, na muundo sahihi ni njia ya ufikiaji wa mbali iliyoidhinishwa tofauti au bastion badala ya bandari ya umma iliyo wazi.

Weka majukumu mawili tofauti kwenye nyaraka: SSH ya ndani kwa msimamizi aliye karibu, na tunnel inayotoka kwa trafiki ya programu. Majukumu hayo yakiwa yameandikwa, mabadiliko ya baadaye kwenye yoyote yao yana mahali pazuri pa kukaguliwa, na mtu anayefuata hahitaji kugundua upya kwa nini seva yenye VPN bado inajibu kwenye anwani yake ya LAN.