Chraňte svou počítačovou síť pomocí hostitele Bastion v pouhých 3 krocích

Máte v místní síti počítače, které potřebují externí přístup? Dobrým řešením může být použití hostitele bastion jako „strážce brány“ vaší sítě.

Co je Bastion hostitel ?

Bašta v doslovném překladu znamená opevněné místo. Z počítačového hlediska je to stroj v síti, který může být strážcem příchozích a odchozích spojení.

Definice Wikipedie: Hostitel bašty je speciální počítač v síti, speciálně navržený a nakonfigurovaný tak, aby odolal útokům. Bastion server obvykle hostí pouze jednu aplikaci, například proxy server , ostatní služby jsou odstraněny nebo omezeny, aby se minimalizovaly hrozby pro počítač. Důvodem, proč je hostitel bastionu pevně zapojený, je jeho speciální umístění a účel, který se obvykle nachází mimo firewall nebo v DMZ (neutrální síťová oblast mezi vnitřní sítí a Internetem) a často zahrnuje přístup z nedůvěryhodných sítí nebo počítače.

Hostitel bastion můžete nastavit jako jediný stroj, který přijímá připojení z internetu. Poté nastavte všechny ostatní stroje v síti tak, aby přijímaly pouze příchozí připojení od tohoto hostitele bastionu.

Výhodou tohoto nastavení je bezpečnost. Hostitelé bašt mohou poskytnout velmi přísné zabezpečení. Bude to první linie bezpečnostní obrany proti jakémukoli vetřelci a zajistí ochranu zbývajících počítačů. Kromě toho také usnadňuje nastavení sítě. Namísto předávání portů na routeru stačí předat port hostiteli Bation, odkud se můžete rozvětvit na další stroje, které potřebují přístup k privátní síti. Podrobnosti o problému budou uvedeny v další části.

Schéma nastavení sítě

Toto je příklad typického nastavení sítě. Pokud potřebujete přistupovat k domácí síti zvenčí, můžete tak učinit přes internet. Směrovač předá toto připojení hostiteli bastionu. Po připojení k hostiteli bastionu můžete přistupovat k jakémukoli jinému počítači v síti. Stejně tak nebude existovat přímý přístup z internetu k jiným strojům, než je hostitel bastion.

1. Dynamic Domain Name System ( Dynamic DNS )

Mnoho lidí si jistě klade otázku, jak se k routeru dostat doma přes internet. Většina poskytovatelů internetových služeb (ISP) přiděluje uživatelům dočasnou IP adresu, která se pravidelně mění. Poskytovatelé internetových služeb si často účtují příplatek za statickou IP adresu . Dobrou zprávou je, že dnešní routery mají často v nastavení dynamický systém doménových jmen.

Dynamický systém názvů domén aktualizuje názvy hostitelů novými IP adresami v určitých intervalech, což zajišťuje, že uživatelé mají vždy přístup ke své domácí síti. Existuje mnoho poskytovatelů s výše uvedenou službou, jako je Noip.com, která má dokonce bezplatnou úroveň. Upozorňujeme, že bezplatná úroveň bude vyžadovat potvrzení názvu serveru každých 30 dní.

Po přihlášení jednoduše vytvořte název serveru, který musí být jedinečný. Pokud vlastníte router Netgear, poskytuje bezplatnou dynamickou službu DNS a nebude vyžadovat měsíční potvrzení.

Nyní se přihlaste ke svému routeru a vyhledejte nastavení dynamického DNS. Různé routery budou mít různá nastavení, viz uživatelská příručka routeru, jak nastavit. Obvykle budete muset zadat informace v následujících čtyřech nastaveních:

1. Dodavatel
2. Název domény (právě vytvořený název serveru)
3. Uživatelské jméno (e-mailová adresa použitá k vytvoření dynamického DNS)
4. Heslo

Pokud váš router nemá dynamické nastavení DNS, No-IP poskytuje software, který lze nainstalovat do vašeho počítače. Všimněte si, že pro aktualizaci dynamického DNS musí být počítač vždy online.

2. Přeposílání nebo přesměrování portů

Dnešní routery potřebují vědět, kam mají přesměrovat příchozí spojení, na základě čísla portu na příchozím spojení. Uživatelé by neměli používat výchozí port SSH 22, protože hackeři mají nástroje, které dokážou zkontrolovat běžné porty a mohou snadno přistupovat k vaší domácí síti. Jakmile si uvědomí, že router přijímá připojení na výchozím portu, začnou odesílat požadavky na připojení se společným uživatelským jménem a heslem.

Přestože výběr náhodných portů tomuto problému zcela nezabrání, může snížit počet požadavků přicházejících do routeru. Pokud váš router může předávat pouze stejný port, měli byste nastavit hostitele bastion tak, aby používal ověřování pomocí klíče SSH, nikoli uživatelské jméno a heslo.

Nainstalujte router, jak je znázorněno níže:

1. Název služby může být SSH
2. Protokol (měl by být nastaven na TCP)
3. Veřejný port (měl by to být vysoký port, ne 22, použijte 52739)
4. Soukromá IP adresa (IP hostitele Bastion)
5. Soukromý port (výchozí port SSH je 22)

Bašta

Jediné, co bašta potřebuje, je SSH. Pokud během instalace nebylo vybráno SSH, zadejte:

sudo apt nainstalovat OpenSSH-client

sudo apt nainstalovat OpenSSH-server

Jakmile je SSH nainstalováno, ujistěte se, že jste nastavili SSH server tak, aby se autentizoval pomocí klíče místo hesla, IP adresa hostitele bastionu je stejná jako IP adresa nastavená ve výše uvedeném pravidle pro předávání.

Můžete provést rychlý test, abyste se ujistili, že vše funguje dobře. Chcete-li simulovat mimo vaši domácí síť, můžete své chytré zařízení použít jako hotspot využívající mobilní data. Otevřete okno terminálu a zadejte jej, nahraďte jej uživatelským jménem účtu na hostiteli bastionu a adresou nastavenou v kroku výše:

ssh -p 52739 @

Pokud bylo vše správně nastaveno, uvidíte okno hostitelského terminálu bastion.

3. Vytvořte tunel

Tunel vytvoříte přes SSH. Pokud například chcete přistupovat ke sdílené složce SMB ve vaší domácí síti z Internetu, připojte se k hostiteli bastion a otevřete tunel ke sdílené složce SMB spuštěním následujícího příkazu:

ssh -L 15445::445 -p 52739 @

Například výše uvedený příkaz bude fungovat

ssh – L 15445:10.1.2.250:445 -p 52739 [email protected]

Výše uvedený příkaz se připojí k účtu na vašem serveru prostřednictvím externího portu SSH routeru 52739. Veškerý provoz odeslaný na port 15445 (libovolný port) bude odeslán tunelem a poté předán do počítače s adresou IP 10.1.2.250 a portem SMB 445 .

Celý příkaz můžete také anonymizovat zadáním:

alias sss='ssh - L 15445:10.1.2.250:445 -p 52739 [email protected]'

Po připojení můžete ke sdílené složce SMB přistupovat pomocí adresy:

smb://localhost:15445

To znamená, že budete moci procházet místní sdílenou složku z Internetu, jako byste byli v místní síti.

Přeji vám úspěch!

Vidět víc:

• Návod k použití a zabezpečení Wifi sítě
• Zabezpečení sítě a potřeba vědět
• Návod jak ochránit WiFi sítě před KRACKem