SSH bastioni yoki to'g'ridan-to'g'ri VPN kirish: qaysi siyosat amal qiladi?

VPN foydalanuvchilari sakrash xostisiz serverlarga yeta oladimi — bu tarmoq libosidagi siyosat savoli. Agar bastion majburiy nazoratni amalga oshirsa, VPNga qo'shilish uning yonidan aylanib o'tmasdan, unga olib borishi kerak. Agar sakrash xosti ilgari yetib bo'lmaydigan segmentni faqat bog'lab turgan bo'lsa, tor to'g'ridan-to'g'ri yo'l halol o'rinbosar bo'lishi mumkin. Quyidagi tekshiruvlarni tartib bilan bajaring va birinchi muvaffaqiyatsizlikda to'xtang, chunki o'sha javob qolganini belgilaydi.

Bastion aslida nimani nazorat qilishini tekshiring

Loyiha hujjatidagi diagrammadan emas, hozirgi holat haqidagi dalillardan boshlang. Maqsadning SSH konfiguratsiyasi va paket filtriga qarang: agar kiruvchi 22-port faqat bastion manzilidan qabul qilinsa, sakrash xosti majburiy nazoratdir. Agar o'sha port butun VPN hovuzidan ulanishlarni qabul qilsa, bastion shunchaki qulaylik bo'lgan va majburlash butunlay boshqa joyda yashaydi. Chiptalar tarixi odatda ikkisidan qaysi biri avval bo'lganini tasdiqlaydi.

Xulosani bastion taqdim etadigan nazoratni nomlaydigan bitta jumlada ayting: manzil cheklovi, ikkinchi autentifikatsiya bosqichi, sessiyani yozib olish yoki hodisa paytida operatsion ko'rinish. Aynan o'sha jumlani almashtiruvchi siyosat saqlab qolishi kerak.

Maqsad yo'llarni ajrata oladimi, tekshiring

Manba manzili qoidalari faqat ikki yo'l turli manba manzillari bilan kelganda ishlaydi. Serverlar quyi tarmog'iga trafikni maskirovka qiluvchi VPN shlyuzi bu farqni o'chiradi, shundan keyin 22-portga har bir ulanish shlyuzdan kelgandek ko'rinadi. Tekshiruv maqsadning o'zida mahalliy bo'lib, bir lahza oladi: o'rnatilgan SSH sessiyalarini sanab chiqing va har birining hamkor manzilini o'qing.

Ikkala yo'l bitta manzilga qulasa, farqni avvalroq qilish kerak: VPN yuborishga ruxsat berilgan manzillar va shlyuzning o'z filtrlari orqali. Bunday holatda maqsadga qoida qo'shish kelayotgan narsani o'zgartirmasdan chegara illyuziyasini yaratadi.

Har bir yozuv aslida nimani saqlashini tekshiring

Uch xil jurnal uch xil voqeani tasvirlaydi va hech biri boshqasini almashtirmaydi. VPN ulanish yozuvi bir identifikatsiya tarmoq doirasiga kirganini ko'rsatadi. Bastionning uzatish yozuvi undan manzil va port tomon chiqayotgan TCP kanalini ko'rsatadi. Maqsadning autentifikatsiya jurnali hisob SSH orqali kirganini ko'rsatadi. Ularni birga o'qish vaqt chizig'ini yaratadi; bittasini o'qish taxmin yaratadi.

Bu yozuvlarning hech biri mijoz va maqsad o'rtasidagi shifrlangan sessiya ichida nima bo'lganini saqlamaydi. Agar buyruq darajasida ko'rib chiqish talab bo'lsa, unga o'z ma'lumot bilan ishlash qoidalariga ega, ataylab joylashtirilgan yozib olish mexanizmi kerak. Buni sakrash xosti jurnallaridan kutish audit bo'shlig'ining muhim bo'lgunga qadar yashirin qolish yo'lidir.

Siyosat aslida qayerda qo'llanishini tekshiring

ProxyJump kabi mijoz sozlamasi so'rovdir, cheklov emas. Manzilga yetish mumkin bo'lganda OpenSSH to'g'ridan-to'g'ri ulanishni mamnuniyat bilan ochadi, shuning uchun noutbuklardagi konfiguratsiya fayllari niyatni tasvirlaydi, natijani esa tarmoqlararo qalqonlar hal qiladi. Majburlash VPN shlyuzining ruxsat etilgan manzillariga va maqsadning o'z kirish qoidalariga tegishli, foydalanuvchi ikkalasini ham tahrirlay olmaydi. Shu bilan birga muqobil yo'llarni tekshiring: ikkinchi interfeys, ommaviy tinglovchi, mesh qatlami yoki eski saytlararo tunnel — har biri siz hozir yopgan qisqa yo'lni tiklashi mumkin.

Shunga qaramay ProxyJump ni sozlang, chunki u tasdiqlangan marshrutni oson qiladi va kundalik ishning istisnolar yaratishini oldini oladi. Ishonishdan oldin mijoz aslida nimani hal qilishini tasdiqlang.

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

Ataylab qilingan to'g'ridan-to'g'ri urinish bilan tasdiqlang

Hech qachon sinab ko'rilmagan siyosat — umid. VPNga ulangan mijozdan hozir rad etilishi kerak bo'lgan yo'lni sinab ko'ring, so'ng tasdiqlanganini sinab ko'ring va ikkala natijani saqlang. Rad etilgan urinish o'zgarish kuchga kirganining dalilidir.

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

Toza natija maqsad manziliga rad etilgan yoki vaqti o'tgan to'g'ridan-to'g'ri ulanishga o'xshaydi, undan keyin sakrash xostiga muvaffaqiyatli kirish va maqsad tomonida qo'llab-quvvatlanadigan manbani nomlaydigan autentifikatsiya yozuvi keladi. Boshqa har qanday narsa chegara hali ham g'ovak ekanini bildiradi, hujjat nima desa ham. Sana, o'zgartirilgan qoida va ikkala natijani yozib qo'ying, so'ng tiklash yo'liga egasini va tugash sanasini bering shoshilinch kirish jimgina kundalik marshrutga aylanmasligi uchun.