SSH பாஸ்டியன் அல்லது நேரடி VPN அணுகல்: எந்தக் கொள்கை பொருந்தும்?

VPN பயனர்கள் ஜம்ப் ஹோஸ்ட்டைக் கடக்காமல் சேவையகங்களை அடைய முடியுமா என்பது வலையமைப்பு உடை அணிந்த கொள்கைக் கேள்வி. பாஸ்டியன் கட்டாயக் கட்டுப்பாட்டைச் செய்கிறது என்றால், VPN-இல் சேர்வது அதைச் சுற்றி அல்ல, அதை நோக்கியே செல்ல வேண்டும். ஜம்ப் ஹோஸ்ட் முன்பு அணுக முடியாத ஒரு பகுதியை மட்டும் இணைத்திருந்தால், குறுகிய நேரடிப் பாதை நேர்மையான மாற்றாக இருக்கலாம். கீழேயுள்ள சோதனைகளை வரிசையாகச் செய்து, முதல் தோல்வியில் நிறுத்துங்கள், ஏனெனில் அந்தப் பதிலே மற்றதைத் தீர்மானிக்கிறது.

பாஸ்டியன் உண்மையில் எதைக் கட்டுப்படுத்துகிறது என்பதைச் சோதியுங்கள்

வடிவமைப்பு ஆவணத்தின் படத்திலிருந்து அல்ல, தற்போதைய நிலை பற்றிய சான்றுகளில் தொடங்குங்கள். இலக்கின் SSH உள்ளமைவு மற்றும் பாக்கெட் வடிகட்டியைப் பாருங்கள்: உள்வரும் துறைமுகம் 22 பாஸ்டியனின் முகவரியிலிருந்து மட்டும் ஏற்கப்பட்டால், ஜம்ப் ஹோஸ்ட் திணிக்கப்பட்ட கட்டுப்பாடு. அதே துறைமுகம் முழு VPN குளத்திலிருந்தும் இணைப்புகளை ஏற்றால், பாஸ்டியன் வெறும் வசதி மட்டுமே, நடைமுறைப்படுத்தல் முற்றிலும் வேறு இடத்தில் உள்ளது. டிக்கெட் வரலாறு பொதுவாக இரண்டில் எது முதலில் இருந்தது என்பதை உறுதிப்படுத்தும்.

பாஸ்டியன் வழங்கும் கட்டுப்பாட்டைப் பெயரிடும் ஒரு வாக்கியத்தில் கண்டுபிடிப்பைக் கூறுங்கள்: இலக்கு கட்டுப்பாடு, இரண்டாவது அங்கீகாரப் படி, அமர்வுப் பதிவு, அல்லது சம்பவத்தின் போது செயல்பாட்டு தெரிவுநிலை. அந்த வாக்கியமே மாற்றுக் கொள்கை பாதுகாக்க வேண்டியது.

இலக்கு பாதைகளை வேறுபடுத்த முடியுமா எனச் சோதியுங்கள்

மூல முகவரி விதிகள் இரு பாதைகளும் வெவ்வேறு மூல முகவரிகளுடன் வரும்வரை மட்டுமே வேலை செய்யும். சேவையக துணை வலையமைப்புக்கான போக்குவரத்தை மறைக்கும் VPN நுழைவாயில் அந்த வேறுபாட்டை அழிக்கிறது, பின்னர் துறைமுகம் 22-க்கான ஒவ்வொரு இணைப்பும் நுழைவாயிலிலிருந்து வந்ததாகத் தோன்றும். சோதனை இலக்கிலேயே உள்ளூர் மற்றும் ஒரு கணம் மட்டுமே எடுக்கும்: நிறுவப்பட்ட SSH அமர்வுகளைப் பட்டியலிட்டு ஒவ்வொன்றின் சக முகவரியைப் படியுங்கள்.

இரு பாதைகளும் ஒரே முகவரியில் சரிந்தால், வேறுபாடு முன்பே செய்யப்பட வேண்டும்: VPN எந்த இலக்குகளுக்கு அனுப்ப அனுமதிக்கப்படுகிறது மற்றும் நுழைவாயிலின் சொந்த வடிகட்டிகள் மூலம். அந்தச் சூழலில் இலக்கில் விதி சேர்ப்பது வருவதை மாற்றாமல் எல்லையின் மாயையை உருவாக்குகிறது.

ஒவ்வொரு பதிவும் உண்மையில் எதை வைத்திருக்கிறது எனச் சோதியுங்கள்

மூன்று வெவ்வேறு பதிவுகள் மூன்று வெவ்வேறு நிகழ்வுகளை விவரிக்கின்றன, எதுவும் மற்றொன்றுக்கு மாற்றாகாது. VPN-இன் இணைப்புப் பதிவு ஒரு அடையாளம் வலைய அளவிற்குள் நுழைந்ததைக் காட்டுகிறது. பாஸ்டியனின் அனுப்பல் பதிவு இலக்கு மற்றும் துறைமுகத்தை நோக்கி அதை விட்டுச் செல்லும் TCP சேனலைக் காட்டுகிறது. இலக்கின் அங்கீகாரப் பதிவு ஒரு கணக்கு SSH வழியாக உள்நுழைந்ததைக் காட்டுகிறது. அவற்றை ஒன்றாகப் படிப்பதே காலவரிசையை உருவாக்குகிறது; ஒன்றை மட்டும் படிப்பது ஊகத்தை உருவாக்குகிறது.

இந்தப் பதிவுகளில் எதிலும் வாடிக்கையாளருக்கும் இலக்கிற்கும் இடையிலான மறையாக்கப்பட்ட அமர்வின் உள்ளே நடந்தது இல்லை. கட்டளை அளவிலான மறுஆய்வு தேவை என்றால், அதற்கு தனித்துவமான தரவு கையாளும் விதிகளுடன் வேண்டுமென்றே பயன்படுத்தப்பட்ட பதிவு முறை தேவை. ஜம்ப்-ஹோஸ்ட் பதிவுகளிலிருந்து அதை எதிர்பார்ப்பதே தணிக்கை இடைவெளி முக்கியமாகும் வரை மறைந்திருப்பதற்கான வழி.

கொள்கை உண்மையில் எங்கே நடைமுறைப்படுத்தப்படுகிறது எனச் சோதியுங்கள்

ProxyJump போன்ற வாடிக்கையாளர் அமைப்பு ஒரு கோரிக்கை, தடை அல்ல. இலக்கை அடைய முடிந்தால் OpenSSH மகிழ்ச்சியுடன் நேரடி இணைப்பைத் திறக்கும், எனவே மடிக்கணினிகளின் உள்ளமைவு கோப்புகள் நோக்கத்தை விவரிக்கின்றன, விளைவை நெருப்புச் சுவர்கள் தீர்மானிக்கின்றன. நடைமுறைப்படுத்தல் VPN நுழைவாயிலின் அனுமதிக்கப்பட்ட இலக்குகளுக்கும் இலக்கின் சொந்த அணுகல் விதிகளுக்கும் உரியது, இரண்டையும் பயனர் திருத்த முடியாது. அதே நேரத்தில் மாற்றுப் பாதைகளைத் தணிக்கை செய்யுங்கள்: இரண்டாவது இடைமுகம், பொது கேட்பான், மெஷ் அடுக்கு அல்லது பழைய தள-க்கு-தள சுரங்கம் — ஒவ்வொன்றும் நீங்கள் இப்போது மூடிய குறுக்குவழியை மீட்டெடுக்கலாம்.

இருந்தபோதிலும் ProxyJump-ஐ உள்ளமைக்கவும், ஏனெனில் அது அனுமதிக்கப்பட்ட பாதையை எளிதானதாக்குகிறது மற்றும் வழக்கமான வேலை விதிவிலக்குகளை உருவாக்குவதைத் தடுக்கிறது. நம்புவதற்கு முன் வாடிக்கையாளர் உண்மையில் எதைத் தீர்க்கிறது என்பதை உறுதிப்படுத்துங்கள்.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

வேண்டுமென்றே நேரடி முயற்சியால் சரிபார்க்கவும்

ஒருபோதும் சோதிக்கப்படாத கொள்கை ஒரு நம்பிக்கை. VPN-இல் இணைக்கப்பட்ட வாடிக்கையாளரிலிருந்து, இப்போது மறுக்கப்பட வேண்டிய பாதையை முயற்சி செய்யுங்கள், பின்னர் அனுமதிக்கப்பட்டதை முயற்சி செய்யுங்கள், இரண்டு முடிவுகளையும் வைத்திருங்கள். மறுக்கப்பட்ட முயற்சியே மாற்றம் நடைமுறைக்கு வந்ததற்கான சான்று.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

தூய்மையான முடிவு இலக்கு முகவரிக்கு மறுக்கப்பட்ட அல்லது நேரம் முடிந்த நேரடி இணைப்பைப் போலத் தெரிகிறது, அதைத் தொடர்ந்து ஜம்ப் ஹோஸ்ட்டில் வெற்றிகரமான உள்நுழைவு மற்றும் இலக்குப் பக்கத்தில் ஆதரிக்கப்பட்ட மூலத்தைப் பெயரிடும் அங்கீகாரப் பதிவு. வேறு எதுவும் இருந்தால் ஆவணம் எதைச் சொன்னாலும் எல்லை இன்னும் துளையுடையது என்று பொருள். தேதி, மாற்றிய விதி மற்றும் இரண்டு முடிவுகளைப் பதிவுசெய்து, பின்னர் மீட்புப் பாதைக்கு ஒரு உரிமையாளரையும் ஒரு காலாவதித் தேதியையும் கொடுங்கள் அவசர அணுகல் அமைதியாக அன்றாடப் பாதையாக மாறாதிருக்க.