Sto usando AWS. Devo connettermi con un client SSH locale alle istanze di Linux EC2 / ECS. Devo anche connettermi con un client PostgreSQL locale alle istanze RDS.
Ci sono tutorial per creare bastioni SSH in AWS:
Conosco diverse persone che lo fanno.
Vedo anche articoli su come non farlo:
Supponendo che sto usando correttamente ruoli IAM, gruppi di sicurezza, ecc., ci sono buone ragioni per cui dovrei considerare seriamente l'uso di un bastione (SSH)? Cosa sono?
Ho appena finito di leggere il post contro gli host bastion. All'inizio l'autore dice che fare ciò va contro ciò che la maggioranza considera come le migliori pratiche. Cercando di rendere interessante quel breve post, vorrei identificare i seguenti punti più importanti:
IMHO questo ultimo punto è il peggiore caso d'uso. Le persone spesso vogliono solo acquistare la sicurezza senza preoccuparsi di tutte le regole di sicurezza, e viene detto che un bastione è la loro soluzione. Che cosa non è. Un host bastione è davvero un buon strumento per aumentare la sicurezza, ma sarà impotente se non viene rispettato il principio del privilegio minimo.
Per farla breve, il mio parere per le migliori pratiche di sicurezza è:
Quindi se l'analisi delle minacce alla sicurezza mostra che hai bisogno di una protezione strong all'ingresso della tua rete interna (che è il caso d'uso comune), allora un host bastion è probabilmente utile, a patto che sia costantemente monitorato e mantenuto con versioni aggiornate del suo software. Se non puoi soddisfare questa condizione, avrai solo un falso senso di sicurezza. Se trovi che stai dicendo La mia sicurezza si basa sull'host del bastione e non voglio essere annoiato da nessun'altra considerazione di sicurezza , allora l'host del bastione è probabilmente più dannoso che utile.
Nella mia attuale compagnia utilizziamo un bastione SSH con un setup che ritengo sia facile da configurare, il server consente solo connessioni SSH usando cert, non è permesso il login della password e anche link setup. Questo server è protetto da un firewall e non è sicuro se ci sono limiti di connessione al server. Penso che personalmente sia una buona idea avere un server bastion probabilmente gli altri utenti avranno un'opinione diversa.