Chráňte svoju počítačovú sieť pomocou hostiteľa Bastion len v 3 krokoch

Máte vo svojej lokálnej sieti počítače, ktoré potrebujú externý prístup? Dobrým riešením môže byť použitie hostiteľa bastionu ako „strážcu brány“ vašej siete.

Čo je hostiteľ Bastion ?

Bašta v doslovnom preklade znamená opevnené miesto. Z počítačového hľadiska je to stroj v sieti, ktorý môže byť strážcom prichádzajúcich a odchádzajúcich spojení.

Wikipedia definícia: Hostiteľ bastion je počítač na špeciálne účely v sieti, špeciálne navrhnutý a nakonfigurovaný tak, aby odolal útokom. Server bastion zvyčajne hostí iba jednu aplikáciu, napríklad proxy server , ostatné služby sú odstránené alebo obmedzené, aby sa minimalizovali hrozby pre počítač. Dôvod, prečo je hostiteľ bastion pevne zapojený, je kvôli jeho špeciálnemu umiestneniu a účelu, ktorý sa zvyčajne nachádza mimo firewallu alebo v DMZ (neutrálna sieťová oblasť medzi internou sieťou a internetom) a často zahŕňa prístup z nedôveryhodných sietí alebo počítačov.

Hostiteľa bastionu môžete nastaviť ako jediný stroj, ktorý prijíma pripojenia z internetu. Potom nastavte všetky ostatné stroje v sieti tak, aby prijímali iba prichádzajúce pripojenia z tohto hostiteľa bastionu.

Výhodou tohto nastavenia je bezpečnosť. Hostitelia Bastion môžu poskytnúť veľmi prísnu bezpečnosť. Bude to prvá línia bezpečnostnej obrany proti akýmkoľvek votrelcom a zabezpečí ochranu zostávajúcich počítačov. Okrem toho tiež uľahčuje nastavenie siete. Namiesto presmerovania portov na smerovači stačí preposlať port hostiteľovi Bation, odtiaľ sa môžete rozvetviť na ďalšie stroje, ktoré potrebujú prístup do súkromnej siete. Podrobnosti o probléme budú uvedené v ďalšej časti.

Schéma nastavenia siete

Toto je príklad typického nastavenia siete. Ak sa potrebujete dostať do domácej siete zvonku, môžete tak urobiť cez internet. Smerovač prepošle toto pripojenie hostiteľovi bastionu. Po pripojení k hostiteľovi bastion máte prístup k akémukoľvek inému stroju v sieti. Rovnako tak nebude priamy prístup z internetu k iným strojom, ako je hostiteľ bastionu.

1. Dynamický systém názvov domén ( dynamický DNS )

Určite veľa ľudí zaujíma, ako sa dostať k routeru doma cez internet. Väčšina poskytovateľov internetových služieb (ISP) prideľuje používateľom dočasnú IP adresu, ktorá sa pravidelne mení. Poskytovatelia internetových služieb si často účtujú príplatok za statickú IP adresu . Dobrou správou je, že dnešné smerovače majú často v nastaveniach dynamický systém názvov domén.

Dynamický systém názvov domén aktualizuje názvy hostiteľov novými IP adresami v určitých intervaloch, čím zaisťuje, že používatelia majú vždy prístup k svojej domácej sieti. Existuje veľa poskytovateľov s vyššie uvedenou službou, ako je Noip.com, ktorá má dokonca bezplatnú úroveň. Upozorňujeme, že bezplatná úroveň bude vyžadovať potvrdenie názvu servera každých 30 dní.

Po prihlásení jednoducho vytvorte názov servera, ktorý musí byť jedinečný. Ak vlastníte router Netgear, poskytuje bezplatnú dynamickú službu DNS a nebude vyžadovať mesačné potvrdenie.

Teraz sa prihláste do smerovača a vyhľadajte nastavenia dynamického DNS. Rôzne smerovače budú mať rôzne nastavenia, pokyny na nastavenie nájdete v používateľskej príručke smerovača. Zvyčajne budete musieť zadať informácie v nasledujúcich štyroch nastaveniach:

1. dodávateľa
2. Názov domény (práve vytvorený názov servera)
3. Používateľské meno (e-mailová adresa použitá na vytvorenie dynamického DNS)
4. heslo

Ak váš smerovač nemá dynamické nastavenia DNS, No-IP poskytuje softvér, ktorý je možné nainštalovať do vášho počítača. Upozorňujeme, že na aktualizáciu dynamického DNS musí byť počítač vždy online.

2. Preposielanie alebo presmerovanie portov

Dnešné smerovače musia vedieť, kam majú presmerovať prichádzajúce spojenia, na základe čísla portu na prichádzajúcom spojení. Používatelia by nemali používať predvolený port SSH 22, pretože hackeri majú nástroje, ktoré dokážu skontrolovať bežné porty a môžu ľahko pristupovať k vašej domácej sieti. Keď si uvedomia, že smerovač prijíma pripojenia na predvolenom porte, začnú odosielať požiadavky na pripojenie so spoločným používateľským menom a heslom.

Hoci výber náhodných portov tomuto problému úplne nezabráni, môže znížiť počet požiadaviek prichádzajúcich do smerovača. Ak váš smerovač môže preposielať len rovnaký port, mali by ste nastaviť hostiteľa bastion tak, aby používal autentifikáciu kľúčom SSH a nie používateľské meno a heslo.

Nainštalujte smerovač podľa obrázka nižšie:

1. Názov služby môže byť SSH
2. Protokol (mal by byť nastavený na TCP)
3. Verejný prístav (mal by to byť vysoký port, nie 22, použite 52739)
4. Súkromná IP adresa (IP hostiteľa Bastion)
5. Súkromný port (predvolený port SSH je 22)

Bašta

Jediné, čo bašta potrebuje, je SSH. Ak počas inštalácie nebolo zvolené SSH, stačí zadať:

sudo apt nainštalovať OpenSSH-client

sudo apt nainštalovať OpenSSH-server

Po nainštalovaní SSH sa uistite, že ste nastavili server SSH na autentifikáciu pomocou kľúča namiesto hesla, IP adresa hostiteľa bastionu je rovnaká ako IP adresa nastavená vo vyššie uvedenom pravidle preposielania.

Môžete urobiť rýchly test, aby ste sa uistili, že všetko funguje správne. Ak chcete simulovať mimo vašej domácej siete, môžete svoje inteligentné zariadenie použiť ako hotspot pomocou mobilných dát. Otvorte okno terminálu a zadajte ho, nahraďte ho používateľským menom účtu na hostiteľovi bastionu a nastavením adresy v kroku vyššie:

ssh -p 52739 @

Ak je všetko nastavené správne, zobrazí sa okno hostiteľského terminálu bastion.

3. Vytvorte tunel

Tunel vytvoríte cez SSH. Napríklad, ak chcete pristupovať k zdieľaniu SMB vo vašej domácej sieti z internetu, pripojte sa k hostiteľovi bastion a otvorte tunel na zdieľanie SMB spustením nasledujúceho príkazu:

ssh -L 15445::445 -p 52739 @

Napríklad vyššie uvedený príkaz bude fungovať

ssh - L 15445:10.1.2.250:445 -p 52739 [email protected]

Vyššie uvedený príkaz sa pripojí k účtu na vašom serveri prostredníctvom externého portu SSH 52739 smerovača. Akákoľvek prevádzka odoslaná na port 15445 (ľubovoľný port) bude odoslaná cez tunel a následne presmerovaná do počítača s adresou IP 10.1.2.250 a portom SMB 445 .

Celý príkaz môžete tiež anonymizovať zadaním:

alias sss='ssh - L 15445:10.1.2.250:445 -p 52739 [email protected]'

Po pripojení máte prístup k zdieľaniu SMB s adresou:

smb://localhost:15445

To znamená, že budete môcť prechádzať lokálny zdieľaný súbor z internetu, ako keby ste boli v lokálnej sieti.

Prajem vám úspech!

Pozrieť viac:

• Návod na použitie a zabezpečenie Wifi siete
• Bezpečnosť siete a potreba vedieť
• Návod ako ochrániť WiFi siete pred KRACKom