VPN orqali rsync: daemon 873 porti va SSH rejimi

Tunnel interfeysida TCP 873 ga ruxsat berish rsync ni OpenVPN-orqali o'tkazmaydi va uzoq tomonning modulni qabul qilishiga ham olib kelmaydi. Tunnel ichki ulanishni olib o'tadi, uning protokoli va manzil qoidalari avvalgidek qoladi. Shuning uchun birinchi savol qaysi portni ochish emas, balki rsync qanday turdagi ulanish o'rnatishidir. Quyidagi barchasi tunnel allaqachon ishlayotganini va faqat ichki xizmat shubhali ekanini nazarda tutadi.

rsync aslida qanday ulanish o'rnatishini aniqlang

Buyruqdagi uzoq argument odatda har qanday tarmoq ekrani o'zgarishidan oldin shu savolga javob beradi. Ikki nuqta yoki URL sxemasi daemonni tanlaydi, xost nomidan keyingi bitta ikki nuqta esa uzoq qobiqni tanlaydi. Hujjatdagi misoldagi emas, aslida ishga tushirayotgan argumentni o'qing.

Aniq uzoq-qobiq parametri javobni yana o'zgartirishi mumkin, chunki u rsync ga tashish uchun qaysi dasturni ishga tushirishni aytadi. Faqat xost qismini emas, meros qolgan o'rovchi skriptlarni ham qo'shib, butun buyruq satrini o'qing.

Daemon rejimi: bog'lash manzili, modul va port

Daemon sintaksisida yo'l bo'lagi diskdagi katalogni emas, sozlangan modulni nomlaydi. Modul paroli ulanish qabul qilingandan keyingina tekshiriladi va modul qo'shimcha ravishda faqat-o'qish uchun yoki ro'yxatdan yashirilgan bo'lishi mumkin. Xatoni o'qiyotganda bu tartib muhim, chunki rad etilgan ulanish va rad etilgan modul ikki xil bosqichdagi nosozlikdir. Ikkala xabarning hech biri tunnelning o'zi haqida hech narsa aytmaydi.

Mustaqil daemonni o'z konfiguratsiya faylida tunnel manziliga bog'lash mumkin, bu uni hech qanday tarmoq ekrani qoidasisiz ommaviy interfeysdan uzoqda saqlaydi. Qiymat daemon bog'lanayotganda mavjud bo'lishi kerak va soket bilan faollashtirilgan yoki inetd tomonidan boshqariladigan tinglovchi uni butunlay e'tiborsiz qoldirishi mumkin.

address = 10.44.0.1
port = 873
[archive]
    path = /srv/archive
    read only = yes

Keyin ommaviy nom o'rniga xususiy manzilga qarshi sinab ko'ring. Ommaviy xost nomi WAN manziliga hal bo'ladi va boshqa yo'ldan boradi, bir mashina ikkalasiga ham javob bersa ham.

rsync --list-only rsync://10.44.0.1/archive/

Uzoq-qobiq rejimi: yuklanishni SSH olib o'tadi

Bitta ikki nuqta bilan rsync uzoq-qobiq dasturini ishga tushiradi va uning protokolini shu kanal orqali gapiradi, shuning uchun erishsa bo'ladigan yagona xizmat server tinglayotgan har qanday portdagi SSH dir. rsync daemon hech qachon ishlamaydi, 873 porti ahamiyatsiz va kirish qarori SSH hisobi qaroriga aylanadi. Uzoq yo'l esa narigi tomondagi qobiq talqin qiladigan haqiqiy fayl tizimi yo'lidir. Shuning uchun 873 ni nishonga olgan tarmoq ekrani o'zgarishi bu rejim uchun hech narsa qilmaydi.

Bunday dizayn quyidagilarni talab qiladi: ruxsat etilgan hisob va xost kalitini tekshirishni, va SSH ning o'z autentifikatsiya siyosatini meros oladi. Yuklanish ishonchsiz tarmoqdan o'tishi kerak bo'lganda bu ko'pincha yaxshiroq tanlov, chunki shifrlash shu uchun qurilgan protokolga tegishli. Parol so'raydigan daemon bir xil narsa emas.

Faqat siz tanlagan yo'lni oching

Rejim belgilangach, tunnelni olib o'tadigan yagona interfeysda yagona ichki xizmatga ruxsat bering. Qoidani interfeys, manba havzasi va manzil bo'yicha cheklang, shunda keyingi standart-rad o'zgarishi uni jimgina kengaytira olmaydi. Keyin qoidalar tartibini ko'rib chiqing, chunki zanjirda oldinroq turgan ruxsat beruvchi qoida tor qoidani faqat bezakka aylantiradi.

Agar daemon VPN shlyuzining o'zida emas, uning orqasidagi mashinada ishlasa, shlyuzga ham yo'naltirish yo'li kerak, nishonga esa o'z ruxsati va qaytish marshruti kerak. Portni faqat shlyuzda ochish qabul qilinadigan, keyin hech qayerga bormaydigan ulanish hosil qiladi.

Ishlab chiqarishda ishlatmoqchi bo'lgan bir xil rejim va manzil bilan mijozdan tekshiring. Muvaffaqiyatli ro'yxat tinglovchini, yo'lni va qoidani birga isbotlaydi; vaqt tugashi yo'lga ishora qiladi, rad esa tinglovchiga.

ufw allow in on tun0 from 10.44.0.0/24 to 10.44.0.1 port 873 proto tcp
ss -ltnp | grep 873