rsync sa ibabaw ng VPN: port ng daemon 873 kumpara sa SSH mode

Ang pagpapahintulot sa TCP 873 sa interface ng tunnel ay hindi nagtutulak sa rsync sa OpenVPN, at hindi rin nito napapayag ang kabilang dulo na tanggapin ang module. Ang tunnel ay nagdadala ng panloob na koneksyon na ang mga tuntunin ng protocol at destinasyon ay nananatiling eksaktong tulad ng dati. Kaya ang unang tanong ay hindi kung aling port ang bubuksan, kundi kung anong uri ng koneksyon ang ginagawa ng rsync. Ipinapalagay ng lahat sa ibaba na nakaangat na ang tunnel at ang panloob na serbisyo na lamang ang pinag-aalinlanganan.

Magpasya kung anong koneksyon ang talagang ginagawa ng rsync

Ang malayong argumento sa utos ay karaniwang sumasagot sa tanong na iyon bago ang anumang pagbabago sa firewall. Ang dobleng tutuldok o isang URL scheme ay pumipili ng daemon, samantalang ang isang tutuldok pagkatapos ng pangalan ng host ay pumipili ng malayong shell. Basahin ang argumentong talagang pinapatakbo mo, hindi ang nasa halimbawa ng dokumentasyon.

Ang tahasang opsyon ng malayong shell ay maaaring muling magbago ng sagot, dahil sinasabi nito sa rsync kung anong programa ang ilulunsad para sa transportasyon. Basahin ang buong command line, kasama ang mga minanang wrapper script, hindi lamang ang bahagi ng host.

Daemon mode: bind address, module at port

Sa syntax ng daemon, ang segment ng landas ay nagpapangalan ng naka-configure na module, hindi isang direktoryo sa disk. Ang password ng module ay sinusuri lamang pagkatapos tanggapin ang koneksyon, at ang module ay maaari ring basahin-lamang o nakatago sa listahan. Mahalaga ang pagkakasunod-sunod na iyon kapag nagbabasa ka ng error, dahil ang tinanggihang koneksyon at tinanggihang module ay mga kabiguan sa dalawang magkaibang yugto. Wala sa dalawang mensahe ang nagsasabi sa iyo ng anuman tungkol sa tunnel mismo.

Ang isang nakapirming daemon ay maaaring i-pin sa address ng tunnel sa file ng configuration nito, na naglalayo rito sa pampublikong interface nang walang anumang tuntunin ng firewall. Dapat umiiral ang halaga kapag nag-bind ang daemon, at ang listener na pinagana ng socket o pinamamahalaan ng inetd ay maaaring ganap na balewalain ito.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Pagkatapos ay subukan laban sa pribadong address sa halip na sa pampublikong pangalan. Ang pampublikong pangalan ng host ay nagsasalin sa isang WAN address at dumadaan sa ibang landas, kahit na isang makina lang ang sumasagot sa dalawa.

rsync --list-only rsync://10.44.0.1/archive/

Malayong shell mode: SSH ang nagdadala ng paglilipat

Sa isang tutuldok, naglulunsad ang rsync ng programang malayong shell at nagsasalita ng protocol nito sa channel na iyon, kaya ang tanging maaabot na serbisyo ay SSH sa anumang port na pinakikinggan ng server. Hindi kailanman tumatakbo ang rsync daemon, walang kaugnayan ang port 873, at ang desisyon sa pag-access ay nagiging desisyon sa SSH account. Ang malayong landas ay isang tunay na landas ng file system na binibigyang-kahulugan ng shell sa kabilang side. Iyon ang dahilan kung bakit ang pagbabago sa firewall na naka-target sa 873 ay walang ginagawa para sa mode na ito.

Ang disenyong iyon ay nangangailangan ng isang awtorisadong account at pagpapatunay ng host key, at namamana nito ang sariling patakaran ng pagpapatunay ng SSH. Kadalasan ito ang mas mahusay na pagpipilian kapag ang paglilipat ay kailangang tumawid sa isang hindi mapagkakatiwalaang network, dahil ang encryption ay pag-aari ng isang protocol na itinayo para doon. Ang daemon na humihingi ng password ay hindi pareho.

Buksan lamang ang landas na pinili mo

Kapag naayos na ang mode, payagan ang nag-iisang panloob na serbisyo sa nag-iisang interface na nagdadala ng tunnel. Limitahan ang tuntunin ayon sa interface, pool ng pinagmulan at address ng destinasyon upang ang huling pagbabago ng default-deny ay hindi ito palawakin nang tahimik. Pagkatapos ay suriin ang pagkakasunod-sunod ng mga tuntunin, dahil ang isang mapagpayag na tuntunin na mas maaga sa chain ay ginagawang pandekorasyon lamang ang makitid na tuntunin.

Kung ang daemon ay tumatakbo sa isang makina sa likod ng VPN gateway kaysa sa gateway mismo, ang gateway ay nangangailangan din ng landas ng pagpapasa at ang target ay nangangailangan ng sarili nitong pahintulot at ruta ng pagbabalik. Ang pagbukas ng port sa gateway lamang ay gumagawa ng koneksyon na tinatanggap at pagkatapos ay walang patutunguhan.

I-verify mula sa kliyente gamit ang parehong mode at destinasyon na balak mong gamitin sa produksyon. Ang matagumpay na listahan ay nagpapatunay ng listener, ruta at tuntunin nang sabay; ang timeout ay tumuturo sa landas, at ang pagtanggi ay tumuturo sa listener.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873