Nega manba port qoidasi SSH yo'llaringizdan birini buzadi

Bitta xostda ikkita boshqaruv kirishi, bitta xizmat porti va ikkalasiga yordam berishi kerak bo'lgan siyosat qoidasi. Qoida manba port 22 ga mos keladi, qidiruvni faqat WAN standartini biladigan jadvalga yuboradi va to'g'ridan-to'g'ri kirish ishlashda davom etar ekan, VPN kirishi yangi kirishlarga javob berishni to'xtatadi. Tanlagichni to'g'ri o'qiganingizdan so'ng bularning hech biri sirli emas. Manba port xizmatni belgilaydi, ulanish kelgan yo'lni emas.

Ikkita kirish, bitta xizmat porti

Xostning LAN tomonidagi manzili va VPN manzili bor, sshd ikkalasida ham tinglaydi. Shuning uchun to'g'ridan-to'g'ri sessiya va tunnel sessiyasi xizmat portini bo'lishadi va faqat qaysi mahalliy manzil ulanishni qabul qilishi bilan farq qiladi.

Bu farq javob yo'lini tanlash uchun yetarli, va portga asoslangan qoida tashlab yuboradigan farq ham aynan shu. Ikkala sessiya ham manba porti 22 bo'lgan javoblarni hosil qiladi, shuning uchun o'sha portga mos keladigan qoida ularni ajrata olmaydi. U ikkala qidiruvni ham bitta jadvalga yuboradi va ulardan biri mos kelmaydigan javob oladi. Tuzatish — haqiqatan farq qiladigan xususiyatga moslashishdir.

Har bir kirishga o'z portini berish ham ishlaydi, va buni talab deb hisoblash SSH xususiyati emas, dizayn tanlovidir.

Qoidani o'qing, keyin jadvalni

Siyosat qoidasi tartiblangan tanlagichdir, va foydali javob qaytaradigan birinchi qoida qidiruvni tugatadi. Ro'yxatni tartib bilan o'qing va qaysi qoida yutishi mumkinligiga e'tibor bering.

Keyin shu qoida ko'rsatgan jadvalni o'qing, chunki muvaffaqiyatli hal bo'ladigan qoida foydali hal bo'ladigan qoida emas. Faqat standart marshrutni saqlaydigan jadval VPN manbasidan kelgan javobni WAN interfeysi orqali tashqariga yuboradi. Keyingi jadvaldagi aniqroq marshrut hech qachon ko'rib chiqilmaydi, shuning uchun ikkinchi jadval qo'shish ko'pincha hech narsani o'zgartirmaydi. Tekshirilishi kerak bo'lgan narsa — tanlangan jadval.

ip -4 rule show
ip route show table 100
ip route show table main

Bu ikkala chiqish birgalikda natijani tushuntiradi; har biri yolg'iz noto'g'ri xulosaga chorlaydi.

Qoidani siz nazarda tutgan oqim bilan cheklang

Ikkala kirishni ajratadigan xususiyat — mahalliy manba manzili. Shu manzilga mos keladigan qoida faqat tunnel sessiyalarini xususiy jadvalga yuboradi va to'g'ridan-to'g'ri sessiyalarni asosiy jadvalda qoldiradi.

Bu qoida xususiy marshrut va shu quyi tarmoqning qaytish yo'lini o'z ichiga olgan jadval bilan juftlanishi kerak. Ikkalasini xostdagi har bir xizmatga emas, boshqaruv trafigiga cheklang. Shu manzildan keladigan barcha trafikni tutadigan qoida xost u yerdan yuboradigan boshqa hamma narsani ham qayta yo'naltiradi. Bu yerda tor aqllidan ustun, chunki keyingi odam uni o'qishi kerak.

sudo ip rule add from 10.90.0.1 lookup 100 priority 100
sudo ip route add 10.90.0.0/24 dev wg0 table 100
ip route get 10.90.5.20 from 10.90.0.1

Agar ikkala kirish bitta mahalliy manzilga aylantirilsa, bu farq yo'qoladi va dizaynga buning o'rniga ulanishni biladigan holat kerak bo'ladi.

Tinglovchi, ruxsat va javob tanlovini alohida saqlang

Sessiya ishlashi uchun uchta alohida narsa to'g'ri bo'lishi kerak: manzil mavjud, xizmat uni tinglaydi va javob qaytish yo'lini topadi. Marshrut o'zgarishi faqat uchinchisini tuzatadi.

Tinglovchi konfiguratsiyasi o'z fayli va o'z qayta yuklanishi, va bir nechta tinglash manzillari normaldir. Autentifikatsiya yana uchinchi qaror, va marshrutlash istisnosi hech kimga kirish bermaydi. Ikkala kirishda ham xost kaliti tekshiruvi, hisob autentifikatsiyasi va manba cheklovlarini saqlang, va bitta boshqaruv yo'li ishlashi uchun tunnelning boshqa nazoratlarini zaiflashtirish istagiga qarshi turing.

O'zgartiriyotgan yo'lingizga bog'liq bo'lmagan tiklash kanalini saqlang, chunki bu yerdagi xato tuzatishning o'zini to'sib qo'yadi.

Buni eski emas, yangi sessiya bilan isbotlang

O'rnatilgan terminal hech narsani isbotlamaydi, chunki u o'zgarishdan oldin qabul qilingan. Har bir mo'ljallangan kirish orqali yangi sessiya oching.

ss -ltnp | grep ':22'
sudo sshd -T | grep -i listenaddress
ssh -v [email protected] true
sudo journalctl -u ssh -n 30

Keyin VPN qayta ulanishini takrorlang va yana urinib ko'ring, chunki qayta ulanishdan omon qoladigan marshrut qayta ulanish tozalaydigan jadvalga qo'shilgan marshrut bilan bir xil emas. Rad etilgan manbalarni ruxsat berilganlardan alohida kuzating, to'silgan urinish ishlayotgan sessiya orqasida yashirinmasligi uchun. Natija yonida mahalliy manzil, qoida va jadvalni saqlang. Agar buning o'rniga portlarni bo'lsangiz, buni SSH cheklovi emas, operatsion qaror sifatida yozib qo'ying.