SSH burcu mu doğrudan VPN erişimi mi: hangi politika geçerli?

VPN kullanıcılarının bir sıçrama ana bilgisayarından geçmeden sunuculara erişip erişemeyeceği, ağ kılığına girmiş bir politika sorusudur. Burç gerekli bir denetimi yerine getiriyorsa, VPN'e katılmak onun etrafından değil ona doğru gitmelidir. Sıçrama ana bilgisayarı yalnızca önceden erişilemeyen bir segmenti köprülüyorsa, dar bir doğrudan yol dürüst bir ikame olabilir. Aşağıdaki kontrolleri sırayla yapın ve ilk başarısız olanda durun, çünkü o yanıt geri kalanı belirler.

Burcun gerçekte neyi denetlediğini kontrol edin

Tasarım belgesindeki bir şemayla değil, bugünkü duruma ilişkin kanıtlarla başlayın. Hedefin SSH yapılandırmasına ve paket filtresine bakın: gelen 22 numaralı bağlantı noktası yalnızca burcun adresinden kabul ediliyorsa, sıçrama ana bilgisayarı zorunlu bir denetimdir. Aynı bağlantı noktası tüm VPN havuzundan bağlantı kabul ediyorsa, burç yalnızca bir kolaylıktı ve uygulama tamamen başka bir yerde yaşıyor. Bilet geçmişi genellikle ikisinden hangisinin önce var olduğunu doğrular.

Buluguyu, burcun sağladığı denetimi adlandıran tek bir cümleyle ifade edin: hedef kısıtlaması, ikinci bir kimlik doğrulama adımı, oturum kaydı veya olay sırasında operasyonel görünürlük. Yedek politikanın koruması gereken tam olarak o cümledir.

Hedefin yolları ayırt edip edemediğini kontrol edin

Kaynak adres kuralları yalnızca iki yol farklı kaynak adreslerle geldiği sürece işe yarar. Sunucu alt ağına giden trafiği maskeleyen bir VPN ağ geçidi bu farkı siler ve o zaman 22 numaralı bağlantı noktasına her bağlantı ağ geçidinden geliyormuş gibi görünür. Kontrol hedefin kendisinde yereldir ve bir an sürer: kurulmuş SSH oturumlarını listeleyin ve her biri için eş adresini okuyun.

Her iki yol tek bir adreste çöküyorsa, ayrım daha önce yapılmalıdır: VPN'in itmesine izin verilen hedefler ve ağ geçidinin kendi filtreleri aracılığıyla. Böyle bir durumda hedefe kural eklemek, geleni değiştirmeden bir sınır yanılsaması yaratır.

Her kaydın gerçekte ne tuttuğunu kontrol edin

Üç farklı günlük üç farklı olayı tanımlar ve hiçbiri diğerinin yerini tutmaz. VPN'in bağlantı kaydı bir kimliğin ağ kapsamına girdiğini gösterir. Burcun iletme kaydı, ondan bir hedefe ve bağlantı noktasına doğru çıkan bir TCP kanalını gösterir. Hedefin kimlik doğrulama günlüğü bir hesabın SSH üzerinden oturum açtığını gösterir. Bunları birlikte okumak bir zaman çizelgesi üretir; yalnızca birini okumak bir tahmin üretir.

Bu kayıtların hiçbiri istemci ile hedef arasındaki şifreli oturumun içinde ne olduğunu içermez. Komut düzeyinde inceleme bir gereklilikse, kendi veri işleme kuralları olan, bilinçli olarak konuşlandırılmış bir kayıt mekanizması gerekir. Bunu sıçrama ana bilgisayarı günlüklerinden beklemek, bir denetim boşluğunun önemli hale gelene kadar gizli kalmasının yoludur.

Politikanın gerçekte nerede uygulandığını kontrol edin

ProxyJump gibi bir istemci ayarı bir istektir, kısıtlama değil. Hedef erişilebilir olduğunda OpenSSH memnuniyetle doğrudan bağlantı açar, bu yüzden dizüstü bilgisayarlardaki yapılandırma dosyaları niyeti tanımlar, sonucu ise güvenlik duvarları belirler. Uygulama, VPN ağ geçidinin izin verilen hedeflerine ve hedefin kendi erişim kurallarına aittir ve kullanıcı ikisini de düzenleyemez. Aynı zamanda alternatif yolları denetleyin: ikinci bir arabirim, genel bir dinleyici, bir mesh katmanı veya eski bir siteler arası tünel, her biri az önce kapattığınız kestirmeyi geri getirebilir.

Yine de ProxyJump'i yapılandırın, çünkü onaylanmış rotayı kolay olan yapar ve rutin işlerin istisna üretmesini engeller. Güvenmeden önce istemcinin gerçekte neyi çözümlediğini doğrulayın.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Bilinçli bir doğrudan denemeyle doğrulayın

Hiç test edilmemiş bir politika bir umuttur. VPN'e bağlı bir istemciden, artık reddedilmesi gereken yolu deneyin, ardından onaylanmış olanı deneyin ve iki sonucu da saklayın. Reddedilen deneme, değişikliğin yürürlüğe girdiğinin kanıtıdır.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Temiz bir sonuç, hedef adrese reddedilmiş veya zaman aşımına uğramış doğrudan bir bağlantı gibi görünür; ardından sıçrama ana bilgisayarına başarılı oturum açma ve hedef tarafında desteklenen kaynağı adlandıran bir kimlik doğrulama kaydı gelir. Başka her şey, belgeler ne derse desin sınırın hâlâ gözenekli olduğu anlamına gelir. Tarihi, değiştirilen kuralı ve iki sonucu kaydedin, sonra kurtarma yoluna bir sahip ve bir son kullanma tarihi verin böylece acil erişim sessizce günlük rota haline gelmesin.