Skydda ditt datornätverk med Bastion-värden i bara 3 steg

Har du datorer i ditt lokala nätverk som behöver extern åtkomst? Att använda en bastionsvärd som "gatekeeper" för ditt nätverk kan vara en bra lösning.

Vad är Bastion värd ?

Bastion översätts bokstavligen till en befäst plats. I datortermer är det en maskin i ett nätverk som kan vara en gatekeeper för inkommande och utgående anslutningar.

Wikipedia definition: En bastion-värd är en dator för speciella ändamål i nätverket, speciellt designad och konfigurerad för att motstå attacker. En bastionserver är vanligtvis bara värd för en enda applikation, till exempel en proxyserver , andra tjänster tas bort eller begränsas för att minimera hot mot datorn. Anledningen till att bastionvärden är fastansluten är på grund av dess speciella plats och syfte, vanligtvis placerad utanför brandväggen eller i DMZ (ett neutralt nätverksområde mellan det interna nätverket och Internet) och involverar ofta åtkomst från opålitliga nätverk eller datorer.

Du kan ställa in bastionvärden som den enda maskinen som accepterar anslutningar från Internet. Ställ sedan i sin tur in alla andra maskiner i nätverket för att bara ta emot inkommande anslutningar från denna bastionvärd.

Fördelen med den här installationen är säkerheten. Bastion-värdar kan ge mycket tight säkerhet. Det kommer att vara den första säkerhetslinjen mot inkräktare och säkerställa att de återstående datorerna är skyddade. Dessutom gör det också nätverksinstallationen enklare. Istället för att vidarebefordra portar på routern behöver du bara vidarebefordra en port till Bation-värden, därifrån kan du förgrena dig till andra maskiner som behöver komma åt det privata nätverket. Detaljer om problemet kommer att nämnas i nästa avsnitt.

Nätverksinställningar diagram

Detta är ett exempel på en typisk nätverksinstallation. Om du behöver komma åt ditt hemnätverk utifrån kan du göra det via Internet. Routern kommer att vidarebefordra den anslutningen till bastionvärden. När du är ansluten till bastionvärden kan du komma åt vilken annan maskin som helst i nätverket. På samma sätt kommer det inte att finnas någon direkt åtkomst från Internet till andra maskiner än bastionsvärden.

1. Dynamiskt domännamnssystem ( Dynamic DNS )

Det är säkert många som undrar hur man kommer åt routern hemma via Internet. De flesta Internetleverantörer (ISP) tilldelar användarna en tillfällig IP-adress som ändras regelbundet. Internetleverantörer tar ofta extra betalt för en statisk IP-adress . Den goda nyheten är att dagens routrar ofta har ett dynamiskt domännamnssystem i inställningarna.

Det dynamiska domännamnssystemet uppdaterar värdnamn med nya IP-adresser med vissa intervall, vilket säkerställer att användare alltid kan komma åt sitt hemnätverk. Det finns många leverantörer med ovanstående tjänst som Noip.com, som till och med har en gratis nivå. Observera att den kostnadsfria nivån kräver bekräftelse av servernamnet var 30:e dag.

När du är inloggad skapar du bara ett servernamn som måste vara unikt. Om du äger en Netgear-router tillhandahåller de en gratis dynamisk DNS- tjänst och kommer inte att kräva månatlig bekräftelse.

Logga nu in på din router och leta efter dynamiska DNS-inställningar. Olika routrar kommer att ha olika inställningar, se routerns användarmanual för hur du ställer in. Vanligtvis måste du ange information i följande fyra inställningar:

1. Leverantör
2. Domännamn (servernamn har precis skapats)
3. Användarnamn (e-postadress som används för att skapa dynamisk DNS)
4. Lösenord

Om din router inte har dynamiska DNS-inställningar tillhandahåller No-IP programvara som kan installeras på din dator. Observera att datorn alltid måste vara online för att uppdatera dynamisk DNS.

2. Vidarebefordra eller omdirigera portar

Dagens routrar behöver veta var de ska vidarebefordra inkommande anslutningar, baserat på portnumret på den inkommande anslutningen. Användare bör inte använda standard SSH- porten 22 eftersom hackare har verktyg som kan kontrollera vanliga portar och enkelt kan komma åt ditt hemnätverk. När de inser att routern accepterar anslutningar på en standardport kommer de att börja skicka anslutningsförfrågningar med ett gemensamt användarnamn och lösenord.

Även om valet av slumpmässiga portar inte helt förhindrar detta problem, kan det minska antalet förfrågningar som kommer till routern. Om din router bara kan vidarebefordra samma port bör du ställa in bastion-värden att använda SSH-nyckelautentisering och inte användarnamn och lösenord.

Installera routern enligt nedan:

1. Tjänstens namn kan vara SSH
2. Protokoll (bör ställas in på TCP)
3. Offentlig hamn (ska vara en hög hamn, inte 22, använd 52739)
4. Privat IP-adress (Bastion-värdens IP)
5. Privat port (standard SSH-port är 22)

Bastion

Det enda bastion behöver är SSH. Om SSH inte valdes under installationen, skriv bara:

sudo apt installera OpenSSH-klient

sudo apt installera OpenSSH-server

När SSH har installerats, se till att ställa in SSH-servern för att autentisera med en nyckel istället för ett lösenord, bastionsvärdens IP-adress är densamma som IP-adressen som anges i vidarebefordranregeln ovan.

Du kan göra ett snabbt test för att se till att allt fungerar som det ska. För att simulera utanför ditt hemnätverk kan du använda din smarta enhet som en hotspot med mobildata. Öppna ett terminalfönster och ange, ersätt det med användarnamnet för ett konto på bastionvärden och med adressinställningen i steget ovan:

ssh -p 52739 @

Om allt har ställts in korrekt kommer du att se bastion värdterminalfönstret.

3. Skapa tunnel

Du skapar en tunnel via SSH. Om du till exempel vill komma åt en SMB-resurs på ditt hemnätverk från Internet, anslut till bastionvärden och öppna en tunnel till SMB-resursen genom att köra följande kommando:

ssh -L 15445::445 -p 52739 @

Till exempel kommer kommandot ovan att fungera

ssh - L 15445:10.1.2.250:445 -p 52739 [email protected]

Ovanstående kommando ansluts till kontot på din server via routerns externa SSH-port 52739. All trafik som skickas till port 15445 (en godtycklig port) kommer att skickas genom tunneln och vidarebefordras sedan till maskinen med IP-adress 10.1.2.250 och SMB-port 445 .

Du kan också anonymisera hela kommandot genom att skriva:

alias sss='ssh - L 15445:10.1.2.250:445 -p 52739 [email protected]'

När du är ansluten kan du komma åt SMB-resursen med adressen:

smb://localhost:15445

Detta innebär att du kommer att kunna bläddra i den lokala andelen från Internet som om du var på det lokala nätverket.

Önskar dig framgång!

Se mer:

• Bruksanvisning och Wifi-nätverkssäkerhet
• Nätverkssäkerhet och behovet av att veta
• Instruktioner om hur du skyddar WiFi-nätverk från KRACK