SSH-бастіон чи прямий доступ через VPN: яка політика діє?

Питання про те, чи можуть користувачі VPN потрапляти на сервери, не проходячи через проміжний хост, — це питання політики в мережевому вбранні. Якщо бастіон виконує обов’язковий контроль, то підключення до VPN має вести до нього, а не в обхід. Якщо проміжний хост лише з’єднував сегмент, який раніше був недоступним, вузький прямий шлях може бути чесною заміною. Виконайте наведені нижче перевірки по порядку і зупиніться на першій невдалій, бо саме ця відповідь вирішує решту.

Перевірте, чим бастіон насправді керує

Почніть із доказів про сучасність, а не з діаграми з проєктного документа. Подивіться на конфігурацію SSH і фільтр пакетів цілі: якщо вхідний порт 22 приймається лише з адреси бастіона, проміжний хост — це примусовий контроль. Якщо той самий порт приймає з’єднання з усього пулу VPN, бастіон був зручністю, а примус живе зовсім в іншому місці. Історія заявок зазвичай підтверджує, що з двох виникло першим.

Сформулюйте висновок одним реченням, назвавши контроль, який дає бастіон: обмеження призначення, другий крок автентифікації, запис сеансу або операційна видимість під час інциденту. Саме це речення політика заміни має зберегти.

Перевірте, чи розрізняє мета шляхи

Правила адреси джерела працюють лише доки обидва шляхи надходять з різними адресами джерела. VPN-шлюз, який маскує трафік до підмережі серверів, стирає цю різницю, і тоді кожне підключення до порту 22 виглядає так, ніби приходить зі шлюзу. Перевірка локальна на цілі й займає мить: перелічіть встановлені сеанси SSH і прочитайте адресу партнера для кожного.

Коли обидва шляхи зливаються в одну адресу, розрізнення треба робити раніше: за тими призначеннями, куди VPN дозволено надсилати трафік, і за власними фільтрами шлюзу. Додавання правила на цілі в такій ситуації створює ілюзію межі, не змінюючи того, що надходить.

Перевірте, що насправді зберігає кожен запис

Три різні журнали описують три різні події, і жоден не замінює інший. Запис з’єднання VPN показує, що певна ідентичність увійшла до мережевого периметра. Запис пересилання бастіона показує TCP-канал, що залишає його в напрямку призначення й порту. Журнал автентифікації цілі показує, що обліковий запис увійшов через SSH. Саме спільне читання дає хронологію; читання одного дає здогад.

Жоден із цих записів не містить того, що відбувалося всередині зашифрованого сеансу між клієнтом і ціллю. Якщо потрібен огляд на рівні команд, він потребує навмисно розгорнутого механізму запису з власними правилами обробки даних. Очікувати цього від журналів проміжного хоста — це спосіб, у який прогалина в аудиті залишається прихованою, доки не стане важливою.

Перевірте, де політика насправді застосовується

Клієнтське налаштування на кшталт ProxyJump — це запит, а не обмеження. OpenSSH охоче відкриє пряме з’єднання, коли призначення доступне, тому файли конфігурації на ноутбуках описують намір, а міжмережеві екрани вирішують результат. Примус належить до дозволених призначень VPN-шлюзу і до власних правил доступу цілі, і ні те, ні інше користувач не може редагувати. Водночас перевірте альтернативні шляхи: другий інтерфейс, публічний слухач, mesh-шар або старий тунель між майданчиками можуть кожен відновити щойно закритий обхідний шлях.

Усе ж налаштуйте ProxyJump, бо це робить схвалений маршрут легким і не дає рутинній роботі породжувати винятки. Підтвердьте, що саме клієнт розв’язує, перш ніж йому довіряти.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Підтвердьте навмисною прямою спробою

Політика, яку ніколи не перевіряли, — це надія. З клієнта, підключеного до VPN, спробуйте шлях, який тепер має бути відхилено, потім спробуйте схвалений і збережіть обидва результати. Відхилена спроба — це доказ того, що зміна набула чинності.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Чистий результат виглядає як відхилене або завершене за тайм-аутом пряме з’єднання до адреси цілі, після чого йде успішний вхід на проміжний хост і запис автентифікації на боці цілі із зазначенням підтримуваного джерела. Будь-що інше означає, що межа все ще пориста, хоч би що казала документація. Запишіть дату, змінене правило й обидва результати, а потім дайте шляху відновлення власника й термін дії щоб аварійний доступ не став тихо повсякденним маршрутом.