Bastion ya SSH au ufikiaji wa VPN wa moja kwa moja: sera ipi inatumika?

Kama watumiaji wa VPN wanaweza kufikia seva bila kuvuka mwenyeji wa kuruka ni swali la sera lililovaa mavazi ya mtandao. Kama bastion inafanya udhibiti unaohitajika, basi kujiunga na VPN lazima kuelekeze kwake na sio kukizunguka. Kama mwenyeji wa kuruka alikuwa akiongeza tu sehemu ambayo hapo awali haikufikiwa, njia nyembamba ya moja kwa moja inaweza kuwa badala ya uaminifu. Fanya ukaguzi ulio hapa chini kwa mpangilio na simama kwenye ule wa kwanza unaoshindwa, kwa sababu jibu hilo linaamua mengine.

Kagua kile bastion inadhibiti kwa kweli

Anza na ushahidi kuhusu hali ya sasa, sio mchoro kutoka hati ya usanifu. Angalia usanidi wa SSH na kichujio cha pakiti cha lengo: kama mlango 22 unaoingia unakubaliwa tu kutoka anwani ya bastion, mwenyeji wa kuruka ni udhibiti uliolazimishwa. Kama mlango huo huo unakubali miunganisho kutoka dimbwi lote la VPN, bastion ilikuwa urahisi na utekelezaji unaishi mahali pengine kabisa. Historia ya tiketi kawaida huthibitisha ipi kati ya hizi mbili ilikuwepo kwanza.

Eleza ugunduzi kwa sentensi moja inayotaja udhibiti unaotolewa na bastion: kizuizi cha mahali pa kwenda, hatua ya pili ya uthibitishaji, kurekodi kipindi, au mwonekano wa kiutendaji wakati wa tukio. Sentensi hiyo ndiyo sera ya badala inayopaswa kuhifadhi.

Kagua kama lengo linaweza kutofautisha njia

Kanuni za anwani ya chanzo hufanya kazi tu wakati njia mbili zinafika na anwani tofauti za chanzo. Lango la VPN linalofunika trafiki kuelekea subnet ya seva hufuta tofauti hiyo, na kisha kila muunganisho kwa mlango 22 huonekana kama unatoka kwenye lango. Ukaguzi ni wa ndani kwenye lengo na huchukua muda mfupi: orodhesha vipindi vya SSH vilivyoanzishwa na soma anwani ya mwenzake kwa kila kimoja.

Wakati njia zote mbili zinaanguka katika anwani moja, tofauti lazima ifanywe mapema zaidi, kwa mahali ambapo VPN inaruhusiwa kusukuma na kwa vichujio vya lango lenyewe. Kuongeza kanuni kwenye lengo katika hali hiyo huunda udanganyifu wa mpaka bila kubadilisha kile kinachofika.

Kagua kile kila kumbukumbu inahifadhi kwa kweli

Kumbukumbu tatu tofauti zinaelezea matukio matatu tofauti, na hakuna moja inayobadilisha nyingine. Kumbukumbu ya muunganisho wa VPN inaonyesha kwamba utambulisho uliingia katika wigo wa mtandao. Kumbukumbu ya usambazaji ya bastion inaonyesha njia ya TCP inayoondoka kuelekea mahali na mlango. Kumbukumbu ya uthibitishaji ya lengo inaonyesha kwamba akaunti iliingia kwa SSH. Kusoma zote pamoja ndiko kunazalisha mfululizo wa matukio; kusoma moja peke yake huzalisha dhana.

Hakuna kati ya kumbukumbu hizo inayobeba kilichotokea ndani ya kipindi kilichosimbwa kati ya mteja na lengo. Kama ukaguzi wa ngazi ya amri unahitajika, unahitaji mfumo wa kurekodi uliowekwa kwa makusudi na kanuni zake za kushughulikia data. Kutarajia hilo kutoka kumbukumbu za mwenyeji wa kuruka ndiyo njia ambayo pengo la ukaguzi hubaki limefichwa hadi liwe muhimu.

Kagua mahali sera inatekelezwa kwa kweli

Mpangilio wa mteja kama ProxyJump ni ombi, sio kizuizi. OpenSSH itafungua muunganisho wa moja kwa moja kwa hiari wakati lengo linafikiwa, kwa hiyo faili za usanidi kwenye kompyuta za mkononi zinaelezea nia huku ngome za moto zinaamua matokeo. Utekelezaji ni wa mahali panaporuhusiwa kwenye lango la VPN na wa kanuni za ufikiaji za lengo lenyewe, na mtumiaji hawezi kuhariri yoyote kati ya haya. Kagua wakati huo huo njia mbadala: kiolesura cha pili, msikilizaji wa umma, tabaka la mesh au handaki la zamani kati ya maeneo kila kimoja kinaweza kurejesha njia ya mkato uliyoifunga sasa hivi.

Hata hivyo sanidi ProxyJump, kwa sababu hufanya njia iliyoidhinishwa kuwa rahisi na huzuia kazi za kawaida kuzalisha tofauti. Thibitisha kile mteja anachotatua kwa kweli kabla ya kumwamini.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Thibitisha kwa jaribio la moja kwa moja la makusudi

Sera ambayo haijawahi kujaribiwa ni matumaini. Kutoka kwa mteja aliyeunganishwa na VPN, jaribu njia inayopaswa kukataliwa sasa, kisha jaribu ile iliyoidhinishwa, na uhifadhi matokeo yote mawili. Jaribio lililokataliwa ndilo ushahidi kwamba mabadiliko yalianza kutumika.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Matokeo safi yanaonekana kama muunganisho wa moja kwa moja uliokataliwa au ulioisha muda kuelekea anwani ya lengo, ukifuatiwa na kuingia kwa mafanikio kwenye mwenyeji wa kuruka na ingizo la uthibitishaji upande wa lengo linalotaja chanzo kinachotumika. Kitu kingine chochote kinamaanisha mpaka bado una vinyweleo, vyovyote hati inavyosema. Andika tarehe, kanuni iliyobadilishwa na matokeo yote mawili, kisha ipe njia ya urejeshaji mmiliki na tarehe ya kumalizika ili ufikiaji wa dharura usiwe kimya njia ya kila siku.