Bakit Binabasag ng Panuntunan sa Port ng Pinagmulan ang Isa sa Iyong SSH Path

Dalawang entry sa pamamahala sa isang host, isang port ng serbisyo, at isang panuntunan sa patakaran na dapat tumulong sa dalawa. Tumutugma ang panuntunan sa port ng pinagmulan 22, ipinapadala ang paghahanap sa isang talahanayang alam lamang ang default ng WAN, at ang entry ng VPN ay humihinto sa pagsagot sa mga bagong login habang ang direktang entry ay patuloy na gumagana. Wala sa mga ito ang mahiwaga kapag ang tagapili ay nabasa nang tama. Ang port ng pinagmulan ay tumutukoy sa isang serbisyo, hindi sa landas na pinagdaanan ng isang koneksyon.

Dalawang entry, isang port ng serbisyo

Ang host ay may address sa gilid ng LAN at address ng VPN, at ang sshd ay nakikinig sa pareho. Kaya ang direktang sesyon at ang sesyon sa tunnel ay nagbabahagi ng port ng serbisyo at nagkakaiba lamang sa kung aling lokal na address ang tumatanggap ng koneksyon.

Sapat ang pagkakaibang iyon para pumili ng landas ng sagot, at iyon mismo ang pagkakaibang itinatapon ng panuntunang nakabatay sa port. Pareho ang dalawang sesyon na gumagawa ng mga sagot na ang port ng pinagmulan ay 22, kaya hindi sila maihihiwalay ng panuntunang tumutugma sa port na iyon. Ipinapadala nito ang dalawang paghahanap sa parehong talahanayan, at ang isa sa kanila ay tumatanggap ng sagot na hindi akma. Ang solusyon ay itugma ang katangiang tunay na nagkakaiba.

Ang pagbibigay sa bawat entry ng sarili nitong port ay gagana rin, at ang ituring iyon na pangangailangan ay desisyon sa disenyo, hindi katangian ng SSH.

Basahin ang panuntunan, pagkatapos ang talahanayan

Ang panuntunan sa patakaran ay isang nakaayos na tagapili, at ang una na nagbabalik ng magagamit na sagot ay nagtatapos sa paghahanap. Basahin ang listahan sa pagkakasunod-sunod at pansinin kung aling panuntunan ang maaaring manalo.

Pagkatapos basahin ang talahanayang itinuturo ng panuntunang iyon, dahil ang panuntunang matagumpay na nalulutas ay hindi panuntunang kapaki-pakinabang na nalulutas. Ang talahanayang may default na ruta lamang ay nagpapadala ng sagot mula sa VPN palabas sa interface ng WAN. Ang mas tiyak na ruta sa susunod na talahanayan ay hindi kailanman isinasaalang-alang, at iyon ang dahilan kung bakit madalas na walang nababago sa pagdagdag ng ikalawang talahanayan. Ang piniling talahanayan ang dapat suriin.

ip -4 rule show
ip route show table 100
ip route show table main

Ang dalawang output na iyon ay magkasamang nagpapaliwanag ng resulta; ang alinman sa kanila ay nag-aanyaya ng maling konklusyon.

Limitahan ang panuntunan sa daloy na iyong tinutukoy

Ang katangiang naghihiwalay sa dalawang entry ay ang lokal na address ng pinagmulan. Ang panuntunang tumutugma sa address na iyon ay nagpapadala lamang ng mga sesyon sa tunnel sa pribadong talahanayan at iniiwan ang direktang sesyon sa pangunahing talahanayan.

Ang panuntunang iyon ay dapat ipares sa isang talahanayang naglalaman ng pribadong ruta at ng daan ng pagbabalik para sa subnet na iyon. Limitahan ang dalawa sa trapiko ng pamamahala sa halip na sa bawat serbisyo sa host. Ang panuntunang humuhuli sa lahat ng trapiko mula sa address na iyon ay mag-redirect din ng anumang iba pang ipinapadala ng host mula roon. Ang makitid ay nananalo sa matalino dito, dahil kailangang basahin iyon ng susunod na tao.

sudo ip rule add from 10.90.0.1 lookup 100 priority 100
sudo ip route add 10.90.0.0/24 dev wg0 table 100
ip route get 10.90.5.20 from 10.90.0.1

Kung ang dalawang entry ay isasalin sa isang lokal na address, mawawala ang pagkakaibang iyon at ang disenyo ay mangangailangan ng estadong may kamalayan sa koneksyon sa halip.

Panatilihing hiwalay ang tagapakinig, pahintulot at pagpili ng sagot

Tatlong magkakahiwalay na bagay ang dapat totoo bago gumana ang isang sesyon: mayroon ang address, nakikinig ang serbisyo rito, at hinahanap ng sagot ang daan pabalik. Ang pagbabago ng ruta ay nag-aayos lamang ng ikatlo.

Ang pagsasaayos ng tagapakinig ay sarili nitong file at sarili nitong muling pag-load, at normal ang maraming address sa pakikinig. Ang pagpapatunay ay ikatlong desisyon na naman, at ang eksepsyon sa pagruruta ay hindi nagbibigay ng access sa sinuman. Panatilihin ang beripikasyon ng susi ng host, pagpapatunay ng account at mga paghihigpit sa pinagmulan sa dalawang entry, at labanan ang udyok na pahinain ang iba pang kontrol ng tunnel upang gumana ang isang landas ng pamamahala.

Panatilihin ang isang channel ng pagbangon na hindi nakadepende sa landas na binabago mo, dahil ang isang pagkakamali rito ay naglo-lock out sa mismong pag-aayos.

Patunayan ito sa bagong sesyon, hindi sa luma

Ang naitatag na terminal ay walang pinapatunayan, dahil pinahintulutan ito bago ang pagbabago. Magbukas ng bagong sesyon sa bawat inilaang entry.

ss -ltnp | grep ':22'
sudo sshd -T | grep -i listenaddress
ssh -v [email protected] true
sudo journalctl -u ssh -n 30

Pagkatapos ulitin ang muling pagkonekta ng VPN at subukan muli, dahil ang rutang nakakaligtas sa muling pagkonekta ay hindi katulad ng rutang idinagdag sa talahanayang nililinis ng muling pagkonekta. Obserbahan ang mga tinanggihang pinagmulan nang hiwalay sa mga pinapayagan, upang ang naharang na pagtatangka ay hindi magtago sa likod ng gumaganang sesyon. I-save ang lokal na address, ang panuntunan at ang talahanayan sa tabi ng resulta. Kung paghihiwalayin mo ang mga port sa halip, itala iyon bilang desisyon sa operasyon at hindi bilang limitasyon ng SSH.