rsync kupitia VPN: mlango wa daemon 873 dhidi ya hali ya SSH

Kuruhusu TCP 873 kwenye kiolesura cha handaki hakusukumi rsync kupitia OpenVPN, na hakufanyi upande wa pili ukubali moduli. Handaki hubeba muunganisho wa ndani ambao sheria zake za itifaki na lengwa hubaki sawa kabisa na zamani. Kwa hiyo swali la kwanza si mlango upi ufunguliwe, bali ni aina gani ya muunganisho ambao rsync hufanya. Yote yafuatayo hudhani handaki tayari limewashwa na ni huduma ya ndani pekee iliyo katika shaka.

Amua ni muunganisho upi ambao rsync hufanya kwa kweli

Hoja ya mbali katika amri kwa kawaida hujibu swali hilo kabla ya mabadiliko yoyote ya firewall. Koloni mbili au mpango wa URL huchagua daemon, ilhali koloni moja baada ya jina la mwenyeji huchagua shell ya mbali. Soma hoja unayotekeleza kwa kweli, si ile iliyo katika mfano wa nyaraka.

Chaguo dhahiri la shell ya mbali linaweza kubadilisha jibu tena, kwa sababu humwambia rsync ni programu gani aanzishe kwa usafirishaji. Soma mstari wote wa amri, ikiwa ni pamoja na hati za kufunika zilizorithiwa, si sehemu ya mwenyeji pekee.

Hali ya daemon: anwani ya kufunga, moduli na mlango

Katika sintaksia ya daemon, sehemu ya njia hutaja moduli iliyosanidiwa, si saraka kwenye diski. Nenosiri la moduli hukaguliwa tu baada ya muunganisho kukubaliwa, na moduli inaweza pia kuwa ya kusoma-tu au kufichwa kwenye orodha. Mpangilio huo ni muhimu unaposoma hitilafu, kwa sababu muunganisho uliokataliwa na moduli iliyokataliwa ni kushindwa katika hatua mbili tofauti. Hakuna ujumbe wowote unaokueleza chochote kuhusu handaki lenyewe.

Daemon inayojitegemea inaweza kubandikwa kwenye anwani ya handaki katika faili yake ya usanidi, jambo ambalo huilinda mbali na kiolesura cha umma bila sheria yoyote ya firewall. Thamani lazima iwepo wakati daemon inafunga, na msikilizaji anayeamilishwa na soketi au anayesimamiwa na inetd anaweza kuipuuza kabisa.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Kisha jaribu dhidi ya anwani ya kibinafsi badala ya jina la umma. Jina la mwenyeji la umma hutatuliwa kuwa anwani ya WAN na hupitia njia tofauti, hata wakati mashine moja inajibu zote mbili.

rsync --list-only rsync://10.44.0.1/archive/

Hali ya shell ya mbali: SSH hubeba uhamishaji

Kwa koloni moja, rsync huanzisha programu ya shell ya mbali na huzungumza itifaki yake kupitia chaneli hiyo, kwa hiyo huduma pekee inayofikiwa ni SSH kwenye mlango wowote ambao seva inasikiliza. Daemon ya rsync haiondoki kamwe, mlango 873 hauna umuhimu, na uamuzi wa ufikiaji unakuwa uamuzi wa akaunti ya SSH. Njia ya mbali ndiyo njia halisi ya mfumo wa faili inayofasiriwa na shell upande wa pili. Ndiyo sababu mabadiliko ya firewall yaliyoelekezwa kwa 873 hayafanyi chochote kabisa kwa hali hii.

Ubunifu huo unahitaji akaunti iliyoidhinishwa na uthibitishaji wa ufunguo wa mwenyeji, na hurithi sera ya uthibitishaji ya SSH yenyewe. Mara nyingi ni chaguo bora wakati uhamishaji unapaswa kuvuka mtandao usioaminika, kwa sababu usimbaji fiche ni wa itifaki iliyoundwa kwa ajili hiyo. Daemon inayoomba nenosiri si kitu kimoja.

Fungua njia uliyochagua pekee

Hali inapokwisha kuamuliwa, ruhusu huduma moja ya ndani kwenye kiolesura kimoja kinachobeba handaki. Punguza sheria kwa kiolesura, bwawa la chanzo na anwani ya lengwa ili mabadiliko ya baadaye ya kukataa kwa chaguo-msingi yasiweze kuipanua kwa kimya. Kisha pitia mpangilio wa sheria, kwa sababu sheria inayoruhusu mapema kwenye mnyororo huifanya sheria nyembamba kuwa mapambo tu.

Ikiwa daemon inaendeshwa kwenye mashine iliyo nyuma ya lango la VPN na si kwenye lango lenyewe, lango pia linahitaji njia ya kusambaza na lengo linahitaji ruhusa yake na njia ya kurudi. Kufungua mlango kwenye lango pekee hutoa muunganisho unaokubaliwa na kisha hauendi popote.

Thibitisha kutoka kwa mteja kwa hali na lengo lilelile unalokusudia kutumia katika uzalishaji. Orodha iliyofanikiwa huthibitisha msikilizaji, njia na sheria pamoja; muda wa kuisha huelekeza kwenye njia, na kukataliwa huelekeza kwa msikilizaji.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873