Suojaa tietokoneverkkosi Bastion-isännällä vain kolmessa vaiheessa

Onko paikallisverkossasi tietokoneita, jotka tarvitsevat ulkoisen pääsyn? Linnakeisäntäverkon "portinvartijana" käyttäminen voi olla hyvä ratkaisu.

Mikä on Bastion- isäntä ?

Bastion tarkoittaa kirjaimellisesti linnoitettua paikkaa. Tietokoneen termein se on kone verkossa, joka voi olla portinvartija saapuville ja lähteville yhteyksille.

Wikipedian määritelmä: Linnakeisäntä on verkossa oleva erikoistietokone, joka on erityisesti suunniteltu ja määritetty kestämään hyökkäyksiä. Bastionipalvelin isännöi tyypillisesti vain yhtä sovellusta, esimerkiksi välityspalvelinta , muut palvelut poistetaan tai rajoitetaan tietokoneeseen kohdistuvien uhkien minimoimiseksi. Syy siihen, miksi bastioni-isäntä on kiinteästi kytketty, johtuu sen erityisestä sijainnista ja tarkoituksesta, joka sijaitsee yleensä palomuurin ulkopuolella tai DMZ-alueella (neutraali verkkoalue sisäisen verkon ja Internetin välillä), ja siihen liittyy usein pääsy epäluotettavista verkoista tai tietokoneita.

Voit määrittää bastionisäntäkoneen ainoaksi koneeksi, joka hyväksyy Internet-yhteydet. Aseta sitten vuorostaan ​​kaikki muut verkon koneet vastaanottamaan vain saapuvat yhteydet tältä linnakeisännältä.

Tämän asennuksen etu on turvallisuus. Bastion-isännät voivat tarjota erittäin tiukan turvallisuuden. Se on ensimmäinen suojauslinja tunkeilijoita vastaan ​​ja varmistaa, että muut tietokoneet ovat suojattuja. Lisäksi se helpottaa verkon käyttöönottoa. Reitittimen porttien välittämisen sijaan sinun tarvitsee vain välittää portti Bation-isäntään, josta voit haarautua muihin koneisiin, jotka tarvitsevat pääsyn yksityiseen verkkoon. Asian yksityiskohdat mainitaan seuraavassa osiossa.

Verkkoasetuskaavio

Tämä on esimerkki tyypillisestä verkkoasetuksesta. Jos haluat käyttää kotiverkkoasi ulkopuolelta, voit tehdä sen Internetin kautta. Reititin välittää tämän yhteyden linnakeisännälle. Kun olet muodostanut yhteyden linnakeisäntään, voit käyttää mitä tahansa muuta verkon konetta. Samoin Internetistä ei ole suoraa pääsyä muihin koneisiin kuin linnakeisäntään.

1. Dynaaminen verkkotunnusjärjestelmä ( dynaaminen DNS )

Varmasti monet ihmiset ihmettelevät, kuinka päästä reitittimeen kotona Internetin kautta. Useimmat Internet-palveluntarjoajat (ISP) antavat käyttäjille väliaikaisen IP-osoitteen, joka muuttuu säännöllisesti. Internet-palveluntarjoajat veloittavat usein lisämaksun staattisesta IP-osoitteesta . Hyvä uutinen on, että nykyisten reitittimien asetuksissa on usein dynaaminen verkkotunnusjärjestelmä.

Dynaaminen verkkotunnusjärjestelmä päivittää isäntänimiä uusilla IP-osoitteilla tietyin väliajoin, mikä varmistaa, että käyttäjät voivat aina käyttää kotiverkkoaan. Yllä olevalla palvelulla on monia palveluntarjoajia, kuten Noip.com, jolla on jopa ilmainen taso. Huomaa, että ilmainen taso vaatii palvelimen nimen vahvistuksen 30 päivän välein.

Kun olet kirjautunut sisään, luo palvelimen nimi, jonka on oltava yksilöllinen. Jos omistat Netgear-reitittimen, ne tarjoavat ilmaisen dynaamisen DNS- palvelun eivätkä vaadi kuukausittaista vahvistusta.

Kirjaudu nyt sisään reitittimeen ja etsi dynaamisia DNS-asetuksia. Eri reitittimillä on erilaiset asetukset, katso asennusohjeet reitittimen käyttöoppaasta. Yleensä sinun on syötettävä tiedot seuraaviin neljään asetukseen:

1. Toimittaja
2. Verkkotunnuksen nimi (juuri luotu palvelimen nimi)
3. Käyttäjätunnus (sähköpostiosoite, jota käytetään dynaamisen DNS:n luomiseen)
4. Salasana

Jos reitittimessäsi ei ole dynaamisia DNS-asetuksia, No-IP tarjoaa ohjelmiston, joka voidaan asentaa tietokoneellesi. Huomaa, että tietokoneen on oltava aina online-tilassa dynaamisen DNS:n päivittämiseksi.

2. Välitä tai uudelleenohjaa portit

Nykyisten reitittimien on tiedettävä, minne välittävät saapuvat yhteydet saapuvan yhteyden portin numeron perusteella. Käyttäjien ei tulisi käyttää oletusarvoista SSH- porttia 22, koska hakkereilla on työkaluja, jotka voivat tarkistaa yleiset portit ja päästä helposti kotiverkkoosi. Kun he ymmärtävät, että reititin hyväksyy yhteyksiä oletusporttiin, he alkavat lähettää yhteyspyyntöjä yhteisellä käyttäjätunnuksella ja salasanalla.

Vaikka satunnaisten porttien valitseminen ei täysin estä tätä ongelmaa, se voi vähentää reitittimeen tulevien pyyntöjen määrää. Jos reitittimesi voi välittää vain samaa porttia, sinun tulee asettaa bastionisäntä käyttämään SSH-avaintodennusta, ei käyttäjätunnusta ja salasanaa.

Asenna reititin alla olevan kuvan mukaisesti:

1. Palvelun nimi voi olla SSH
2. Protokolla (pitäisi asettaa TCP:ksi)
3. Julkinen portti (pitäisi olla korkea portti, ei 22, käytä numeroa 52739)
4. Yksityinen IP-osoite (Bastionin isännän IP)
5. Yksityinen portti (oletus SSH-portti on 22)

Linnake

Ainoa mitä bastion tarvitsee on SSH. Jos SSH:ta ei valittu asennuksen aikana, kirjoita:

sudo apt install OpenSSH-asiakas

sudo apt install OpenSSH-palvelin

Kun SSH on asennettu, muista määrittää SSH-palvelin todentamaan avaimella salasanan sijaan. Bastion-isännän IP-osoite on sama kuin yllä olevassa edelleenlähetyssäännössä asetettu IP-osoite.

Voit tehdä nopean testin varmistaaksesi, että kaikki toimii hyvin. Simuloidaksesi kotiverkkosi ulkopuolella, voit käyttää älylaitettasi hotspotina mobiilidatan avulla. Avaa pääteikkuna ja kirjoita, korvaa se linnakeisännässä olevan tilin käyttäjätunnuksella ja osoitemäärityksellä yllä olevassa vaiheessa:

ssh -p 52739 @

Jos kaikki on asetettu oikein, näet bastionin isäntäpääteikkunan.

3. Luo tunneli

Luot tunnelin SSH:n kautta. Jos esimerkiksi haluat käyttää SMB-osuutta kotiverkossasi Internetistä, muodosta yhteys linnakeisäntään ja avaa tunneli SMB-osuudelle suorittamalla seuraava komento:

ssh -L 15445::445 -p 52739 @

Esimerkiksi yllä oleva komento toimii

ssh - L 15445:10.1.2.250:445 -p 52739 [email protected]

Yllä oleva komento muodostaa yhteyden palvelimellasi olevaan tiliin reitittimen ulkoisen SSH-portin 52739 kautta. Kaikki porttiin 15445 (mielinen portti) lähetetty liikenne lähetetään tunnelin kautta ja välitetään sitten koneelle, jonka IP-osoite on 10.1.2.250 ja SMB-portti 445. .

Voit myös anonymisoida koko komennon kirjoittamalla:

alias sss='ssh - L 15445:10.1.2.250:445 -p 52739 [email protected]'

Kun yhteys on muodostettu, voit käyttää SMB-jakoa osoitteella:

smb://localhost:15445

Tämä tarkoittaa, että voit selata paikallista osuutta Internetistä aivan kuin olisit paikallisessa verkossa.

Menestystä toivottaen!

Katso lisää:

• Käyttöohjeet ja Wifi-verkon suojaus
• Verkkoturvallisuus ja tarve tietää
• Ohjeet WiFi-verkkojen suojaamiseen KRACKilta