Utilizzo di un server bastion: come modellare un ingresso di emergenza?

Question

Utilizzo di un server bastion: come modellare un ingresso di emergenza?

#1 da (6 voti)

4

Ho creato un server bastion (A) che funge da unico "corridoio" per entrare in un gruppo di altri VPS privati (B). Vale a dire: le macchine private accettano solo connessioni SSH da (A) su una porta non standard, che è una regola hard firewall, e accettano solo queste connessioni da (A) usando un utente specifico e una chiave specifica.

Mi chiedevo quale strategia dovrei usare per le emergenze in cui ad esempio il bastione (A) scende, viene compromesso o in qualche modo diventa inutile. Renderebbe inaccessibile per sempre il mio VPS privato (B).

Devo permettere che le macchine (B) siano accessibili tramite un altro indirizzo IP oltre al bastione (A)? Non ho l'infrastruttura per allocare interi blocchi IP, quindi le autorizzazioni basate sugli intervalli non funzioneranno per me.

Qualche idea?

ssh firewalls

posta Hirohito 23.04.2017 - 16:26

fonte

1 risposta

Leggi altre domande sui tag ssh firewalls

Come si aggiunge la passphrase della chiave privata OpenPGP alla sua sicurezza? Qual è il termine corretto in una tabella pre-calcolata con coppie password / hash?

score 6 · Accepted Answer

Questa è solo un'espansione di ciò che @schroeder ha detto nei commenti. Puoi accedere a (A) oa qualsiasi (B) 's senza SSH se stai utilizzando un provider decente.

La maggior parte dei servizi VPS consente il login di una console. L'accesso alla console non viene eseguito tramite ssh ma tramite un processo getty (o agetty , mgetty o altra variante) che parla al supervisore della virtualizzazione.

Come esempio che uso spesso (e così anche la maggior parte dei servizi VPS), il% K_C% di co_de ha un comando virt-manager . Quindi il provider VPS deve solo inviare input e output di quel processo nella console web / dell'app. Il

PasswordAuthentication no

in virsh console non viene mai utilizzato da quel metodo poiché il processo /etc/ssh/sshd_config non viene toccato.

Per quanto riguarda le considerazioni sulla sicurezza di questo metodo, sono nella tua corte del provider VPS. La maggior parte dei provider fornisce una serie di controlli abbastanza decenti prima di poter accedere alla console (linode, digital ocean e AWS sono tre che ho utilizzato la console e ho potuto configurare l'autenticazione a due fattori). Detto questo, è semplicemente analogo andare in una stanza del server e collegare una console fisica alla porta della console della macchina.