Προστατέψτε το δίκτυο του υπολογιστή σας με τον κεντρικό υπολογιστή Bastion σε 3 μόλις βήματα

Έχετε υπολογιστές στο τοπικό σας δίκτυο που χρειάζονται εξωτερική πρόσβαση; Η χρήση ενός προμαχώνα ως "gatekeeper" για το δίκτυό σας μπορεί να είναι μια καλή λύση.

Τι είναι το Bastion host ;

Ο Προμαχώνας κυριολεκτικά μεταφράζεται σε οχυρωμένο μέρος. Με όρους υπολογιστών, είναι ένα μηχάνημα σε ένα δίκτυο που μπορεί να είναι φύλακας για εισερχόμενες και εξερχόμενες συνδέσεις.

Ορισμός Wikipedia: Ο κεντρικός υπολογιστής προμαχώνας είναι ένας υπολογιστής ειδικού σκοπού στο δίκτυο, ειδικά σχεδιασμένος και διαμορφωμένος για να αντέχει σε επιθέσεις. Ένας διακομιστής προμαχώνας φιλοξενεί συνήθως μόνο μια εφαρμογή, για παράδειγμα έναν διακομιστή μεσολάβησης , άλλες υπηρεσίες καταργούνται ή περιορίζονται για την ελαχιστοποίηση των απειλών για τον υπολογιστή. Ο λόγος για τον οποίο ο κεντρικός προμαχώνας είναι ενσύρματος είναι λόγω της ειδικής θέσης και του σκοπού του, που συνήθως βρίσκεται έξω από το τείχος προστασίας ή στο DMZ (μια ουδέτερη περιοχή δικτύου μεταξύ του εσωτερικού δικτύου και του Διαδικτύου) και συχνά περιλαμβάνει πρόσβαση από μη αξιόπιστα δίκτυα ή Υπολογιστές.

Μπορείτε να ρυθμίσετε τον κεντρικό υπολογιστή προμαχώνα ως το μόνο μηχάνημα που δέχεται συνδέσεις από το Διαδίκτυο. Στη συνέχεια, με τη σειρά του, ρυθμίστε όλα τα άλλα μηχανήματα στο δίκτυο ώστε να λαμβάνουν μόνο εισερχόμενες συνδέσεις από αυτόν τον κεντρικό υπολογιστή προμαχώνων.

Το πλεονέκτημα αυτής της εγκατάστασης είναι η ασφάλεια. Οι οικοδεσπότες Bastion μπορούν να παρέχουν πολύ αυστηρή ασφάλεια. Θα είναι η πρώτη γραμμή άμυνας ασφαλείας έναντι τυχόν εισβολέων και θα διασφαλίσει ότι οι υπόλοιποι υπολογιστές προστατεύονται. Επιπλέον, διευκολύνει τη ρύθμιση του δικτύου. Αντί να προωθείτε θύρες στο δρομολογητή , πρέπει απλώς να προωθήσετε μια θύρα στον κεντρικό υπολογιστή Bation, από εκεί, μπορείτε να διακλαδώσετε σε άλλα μηχανήματα που χρειάζονται πρόσβαση στο ιδιωτικό δίκτυο. Λεπτομέρειες για το θέμα θα αναφερθούν στην επόμενη ενότητα.

Διάγραμμα εγκατάστασης δικτύου

Αυτό είναι ένα παράδειγμα τυπικής εγκατάστασης δικτύου. Εάν χρειάζεται να αποκτήσετε πρόσβαση στο οικιακό σας δίκτυο από έξω, μπορείτε να το κάνετε μέσω του Διαδικτύου. Ο δρομολογητής θα προωθήσει αυτήν τη σύνδεση στον κεντρικό υπολογιστή του προμαχώνα. Μόλις συνδεθείτε στον κεντρικό υπολογιστή προμαχώνων, μπορείτε να έχετε πρόσβαση σε οποιοδήποτε άλλο μηχάνημα στο δίκτυο. Ομοίως, δεν θα υπάρχει άμεση πρόσβαση από το Διαδίκτυο σε μηχανήματα εκτός από τον κεντρικό προμαχώνα.

1. Σύστημα δυναμικού ονόματος τομέα ( Dynamic DNS )

Σίγουρα πολλοί άνθρωποι αναρωτιούνται πώς να έχουν πρόσβαση στο δρομολογητή στο σπίτι μέσω του Διαδικτύου. Οι περισσότεροι πάροχοι υπηρεσιών Διαδικτύου (ISP) εκχωρούν στους χρήστες μια προσωρινή διεύθυνση IP που αλλάζει τακτικά. Οι πάροχοι υπηρεσιών Διαδικτύου συχνά χρεώνουν επιπλέον για μια στατική διεύθυνση IP . Τα καλά νέα είναι ότι οι σημερινοί δρομολογητές έχουν συχνά ένα δυναμικό σύστημα ονομάτων τομέα στις ρυθμίσεις.

Το δυναμικό σύστημα ονομάτων τομέα ενημερώνει τα ονόματα κεντρικών υπολογιστών με νέες διευθύνσεις IP σε συγκεκριμένα χρονικά διαστήματα, διασφαλίζοντας ότι οι χρήστες μπορούν πάντα να έχουν πρόσβαση στο οικιακό τους δίκτυο. Υπάρχουν πολλοί πάροχοι με την παραπάνω υπηρεσία, όπως το Noip.com, το οποίο έχει ακόμη και δωρεάν επίπεδο. Σημειώστε ότι το δωρεάν επίπεδο θα απαιτεί επιβεβαίωση ονόματος διακομιστή κάθε 30 ημέρες.

Μόλις συνδεθείτε, απλώς δημιουργήστε ένα όνομα διακομιστή, το οποίο πρέπει να είναι μοναδικό. Εάν διαθέτετε δρομολογητή Netgear, παρέχουν μια δωρεάν υπηρεσία δυναμικού DNS και δεν θα απαιτείται μηνιαία επιβεβαίωση.

Τώρα συνδεθείτε στο δρομολογητή σας και αναζητήστε δυναμικές ρυθμίσεις DNS. Διαφορετικοί δρομολογητές θα έχουν διαφορετικές ρυθμίσεις, ανατρέξτε στο εγχειρίδιο χρήσης του δρομολογητή για τον τρόπο ρύθμισης. Συνήθως θα χρειαστεί να εισαγάγετε πληροφορίες στις ακόλουθες τέσσερις ρυθμίσεις:

1. Προμηθευτής
2. Όνομα τομέα (όνομα διακομιστή που μόλις δημιουργήθηκε)
3. Όνομα χρήστη (διεύθυνση email που χρησιμοποιείται για τη δημιουργία δυναμικού DNS)
4. Κωδικός πρόσβασης

Εάν ο δρομολογητής σας δεν έχει ρυθμίσεις δυναμικού DNS, το No-IP παρέχει λογισμικό που μπορεί να εγκατασταθεί στον υπολογιστή σας. Λάβετε υπόψη ότι ο υπολογιστής πρέπει να είναι πάντα συνδεδεμένος για την ενημέρωση του δυναμικού DNS.

2. Προώθηση ή ανακατεύθυνση θυρών

Οι σημερινοί δρομολογητές πρέπει να γνωρίζουν πού να προωθήσουν τις εισερχόμενες συνδέσεις, με βάση τον αριθμό θύρας στην εισερχόμενη σύνδεση. Οι χρήστες δεν πρέπει να χρησιμοποιούν την προεπιλεγμένη θύρα SSH 22, επειδή οι χάκερ διαθέτουν εργαλεία που μπορούν να ελέγξουν τις κοινές θύρες και μπορούν εύκολα να έχουν πρόσβαση στο οικιακό σας δίκτυο. Μόλις αντιληφθούν ότι ο δρομολογητής δέχεται συνδέσεις σε μια προεπιλεγμένη θύρα, θα αρχίσουν να στέλνουν αιτήματα σύνδεσης με κοινό όνομα χρήστη και κωδικό πρόσβασης.

Αν και η επιλογή τυχαίων θυρών δεν αποτρέπει πλήρως αυτό το πρόβλημα, μπορεί να μειώσει τον αριθμό των αιτημάτων που έρχονται στο δρομολογητή. Εάν ο δρομολογητής σας μπορεί να προωθήσει μόνο την ίδια θύρα, θα πρέπει να ρυθμίσετε τον κεντρικό υπολογιστή προμαχώνων να χρησιμοποιεί έλεγχο ταυτότητας κλειδιού SSH και όχι όνομα χρήστη και κωδικό πρόσβασης.

Εγκαταστήστε το δρομολογητή όπως φαίνεται παρακάτω:

1. Το όνομα της υπηρεσίας μπορεί να είναι SSH
2. Πρωτόκολλο (πρέπει να οριστεί σε TCP)
3. Δημόσια θύρα (θα πρέπει να είναι high port, όχι 22, χρησιμοποιήστε 52739)
4. Ιδιωτική διεύθυνση IP (IP του κεντρικού υπολογιστή Bastion)
5. Ιδιωτική θύρα (η προεπιλεγμένη θύρα SSH είναι 22)

Προπύργιο

Το μόνο που χρειάζεται ο προμαχώνας είναι το SSH. Εάν το SSH δεν επιλέχθηκε κατά την εγκατάσταση, απλώς πληκτρολογήστε:

sudo apt εγκατάσταση OpenSSH-πελάτη

sudo apt εγκατάσταση του διακομιστή OpenSSH

Μόλις εγκατασταθεί το SSH, φροντίστε να ρυθμίσετε τον διακομιστή SSH για έλεγχο ταυτότητας με κλειδί αντί για κωδικό πρόσβασης, η διεύθυνση IP του κεντρικού υπολογιστή προμαχώνα είναι ίδια με τη διεύθυνση IP που έχει οριστεί στον παραπάνω κανόνα προώθησης.

Μπορείτε να κάνετε μια γρήγορη δοκιμή για να βεβαιωθείτε ότι όλα λειτουργούν καλά. Για προσομοίωση εκτός του οικιακού σας δικτύου, μπορείτε να χρησιμοποιήσετε την έξυπνη συσκευή σας ως hotspot χρησιμοποιώντας δεδομένα κινητής τηλεφωνίας. Ανοίξτε ένα παράθυρο τερματικού και πληκτρολογήστε, αντικαθιστώντας το με το όνομα χρήστη ενός λογαριασμού στον κεντρικό υπολογιστή του προμαχώνα και με τη ρύθμιση διεύθυνσης στο παραπάνω βήμα:

ssh -p 52739 @

Εάν όλα έχουν ρυθμιστεί σωστά, θα δείτε το παράθυρο τερματικού κεντρικού προμαχώνα.

3. Δημιουργία τούνελ

Δημιουργείτε ένα τούνελ μέσω SSH. Για παράδειγμα, εάν θέλετε να αποκτήσετε πρόσβαση σε ένα κοινόχρηστο στοιχείο SMB στο οικιακό σας δίκτυο από το Διαδίκτυο, συνδεθείτε στον κεντρικό υπολογιστή προμαχώνων και ανοίξτε μια σήραγγα στο κοινόχρηστο στοιχείο SMB εκτελώντας την ακόλουθη εντολή:

ssh -L 15445::445 -p 52739 @

Για παράδειγμα, η παραπάνω εντολή θα λειτουργήσει

ssh - L 15445:10.1.2.250:445 -p 52739 [email protected]

Η παραπάνω εντολή συνδέεται με τον λογαριασμό στο διακομιστή σας μέσω της εξωτερικής θύρας SSH 52739 του δρομολογητή. Οποιαδήποτε κίνηση αποστέλλεται στη θύρα 15445 (μια αυθαίρετη θύρα) θα αποστέλλεται μέσω του τούνελ και στη συνέχεια θα προωθείται στο μηχάνημα με διεύθυνση IP 10.1.2.250 και θύρα SMB 445 .

Μπορείτε επίσης να ανωνυμοποιήσετε ολόκληρη την εντολή πληκτρολογώντας:

ψευδώνυμο sss='ssh - L 15445:10.1.2.250:445 -p 52739 [email protected]'

Αφού συνδεθείτε, μπορείτε να αποκτήσετε πρόσβαση στο κοινόχρηστο στοιχείο SMB με τη διεύθυνση:

smb://localhost:15445

Αυτό σημαίνει ότι θα μπορείτε να περιηγηθείτε στο τοπικό κοινόχρηστο στοιχείο από το Διαδίκτυο σαν να βρίσκεστε στο τοπικό δίκτυο.

Σας εύχομαι επιτυχία!

Δείτε περισσότερα:

• Οδηγίες χρήσης και ασφάλεια δικτύου Wifi
• Ασφάλεια δικτύου και ανάγκη γνώσης
• Οδηγίες για τον τρόπο προστασίας των δικτύων WiFi από το KRACK