Protektahan ang Iyong Network Sa Isang Bastion Host sa 3 Hakbang lamang

Protektahan ang Iyong Network Sa Isang Bastion Host sa 3 Hakbang lamang

Mayroon ka bang mga machine sa iyong panloob na network na kailangan mong i-access mula sa labas ng mundo? Ang paggamit ng isang host ng bastion bilang gatekeeper sa iyong network ay maaaring maging solusyon.





Ano ang isang Bastion Host?

Ang bastion ay naisasalin nang literal sa isang lugar na pinatibay. Sa mga tuntunin sa computer, ito ay isang makina sa iyong network na maaaring maging gatekeeper para sa mga papasok at papalabas na koneksyon.



Maaari mong itakda ang iyong host ng bastion bilang tanging machine na tatanggapin ang mga papasok na koneksyon mula sa internet. Pagkatapos, sa turn naman, itakda ang lahat ng iba pang mga machine sa iyong network, upang makatanggap lamang ng mga papasok na koneksyon mula sa iyong host ng bastion. Ano ang mga pakinabang nito?





Higit sa lahat higit sa lahat, seguridad. Ang host ng bastion, tulad ng ipinahihiwatig ng pangalan, ay maaaring magkaroon ng masikip na seguridad. Ito ang magiging unang linya ng depensa laban sa anumang mga nanghihimasok at tiyakin na ang natitirang bahagi ng iyong mga machine ay protektado.

Ginagawa nitong ginagawang mas madali ang iba pang mga bahagi ng iyong network. Sa halip na ipasa ang mga port sa antas ng router, kailangan mo lamang ipasa ang isang papasok na port sa iyong host ng bastion. Mula doon, maaari kang mag-branch out sa iba pang mga machine na kailangan mo ng pag-access sa iyong pribadong network. Huwag matakot, masasakop ito sa susunod na seksyon.



Ang Diagram

Ito ay isang halimbawa ng isang tipikal na pag-setup ng network. Kung kailangan mo ng pag-access sa iyong home network mula sa labas, papasok ka sa pamamagitan ng internet. Ipapasa ng iyong router ang koneksyon na iyon sa iyong host ng bastion. Kapag nakakonekta sa iyong host ng bastion, maaari mong ma-access ang anumang iba pang mga machine sa iyong network. Parehas, walang pag-access sa mga makina maliban sa host ng bastion na direkta mula sa internet.

Sapat na pagpapaliban, oras upang magamit ang balwarte.



1. Dynamic na DNS

Ang matalino sa iyo ay maaaring nagtataka kung paano makakuha ng pag-access sa iyong router sa bahay sa pamamagitan ng internet. Karamihan sa mga tagabigay ng serbisyo sa internet (ISP) ay nagtatalaga sa iyo ng isang pansamantalang IP address, na madalas na nagbabago. Ang mga ISP ay may posibilidad na maningil ng labis kung nais mo ng isang static IP address. Ang magandang balita ay ang mga modernong araw na mga router ay may posibilidad na magkaroon ng pabagu-bago na DNS sa kanilang mga setting.

Ina-update ng Dynamic na DNS ang iyong hostname gamit ang iyong bagong IP address sa mga itinakdang agwat, na tinitiyak na maaari mong palaging ma-access ang iyong home network. Maraming mga tagabigay na nag-aalok ng nasabing serbisyo, isa na rito Walang-IP na kahit na may isang libreng antas . Magkaroon ng kamalayan na ang libreng baitang ay mangangailangan sa iyo upang kumpirmahin ang iyong hostname isang beses bawat 30 araw. Ito ay isang 10-segundong proseso lamang, na pinapaalala nila na gawin pa rin.



Pagkatapos mong mag-sign up, lumikha lamang ng isang hostname. Ang iyong hostname ay kailangang maging natatangi, at iyon lang. Kung nagmamay-ari ka ng isang Netgear router, nag-aalok sila ng isang libreng pabago-bagong DNS na hindi mangangailangan ng isang buwanang kumpirmasyon.

disney + help center error code 83

Ngayon mag-login sa iyong router, at hanapin ang setting ng pabagu-bagong DNS. Mag-iiba ito sa router patungo sa router, ngunit kung hindi mo makita na ito ay nagkukubli sa ilalim ng mga advanced na setting, suriin ang manwal ng gumagamit ng iyong gumawa. Ang apat na setting na karaniwang kailangan mong ipasok ay ang:

  1. Ang tagapagbigay
  2. Pangalan ng domain (ang hostname na iyong nilikha lamang)
  3. Pangalan sa pag-login (ang email address na ginamit upang likhain ang iyong dynamic na DNS)
  4. Password

Kung ang iyong router ay walang isang dynamic na setting ng DNS, nagbibigay ang No-IP ng software na magagawa mo i-install sa iyong lokal na makina upang makamit ang parehong resulta. Ang makina na ito ay kailangang maging online, upang mapanatili ang petsa ng pabago-bagong DNS.

2. Port Forwarding o Redirection

Kailangang malaman ng router kung saan ipapasa ang papasok na koneksyon. Ginagawa ito batay sa numero ng port na nasa papasok na koneksyon. Ang isang mahusay na kasanayan dito ay hindi gamitin ang default na port ng SSH, na 22, para sa nakaharap na port ng publiko.

Ang dahilan para hindi gamitin ang default port ay dahil ang mga hacker ay may dedikadong mga port sniffer. Ang mga tool na ito ay patuloy na suriin para sa mga kilalang port na maaaring bukas sa iyong network. Kapag nalaman nila na ang iyong router ay tumatanggap ng mga koneksyon sa isang default port, nagsisimula silang magpadala ng mga kahilingan sa koneksyon na may mga karaniwang mga username at password.

Habang ang pagpili ng isang random na port ay hindi titigil ang mga malignant na sniffer nang sama-sama, mababawasan nito nang husto ang bilang ng mga kahilingan na dumarating sa iyong router. Kung maipapasa lamang ng iyong router ang parehong port, hindi iyon problema, dahil dapat mong itatakda ang iyong host ng bastion upang magamit ang pagpapatotoo ng keypair ng SSH at hindi mga username at password.

Ang mga setting ng isang router ay dapat magmukhang katulad nito:

  1. Ang pangalan ng serbisyo na maaaring SSH
  2. Protocol (dapat itakda sa TCP)
  3. Public port (dapat ay isang mataas na port na hindi 22, gamitin ang 52739)
  4. Pribadong IP (ang IP ng iyong bastion host)
  5. Pribadong port (ang default na SSH port, na 22)

Ang Bastion

Ang kailangan lang ng iyong balwarte ay ang SSH. Kung hindi ito napili sa oras ng pag-install, i-type lamang:

sudo apt install OpenSSH-client
sudo apt install OpenSSH-server

Kapag na-install na ang SSH, tiyaking itakda ang iyong SSH server upang patunayan ang mga key sa halip na mga password. Tiyaking ang IP ng iyong host ng bastion ay kapareho ng itinakda sa panuntunan sa pasulong na port sa itaas.

Maaari kaming magpatakbo ng isang mabilis na pagsubok upang matiyak na gumagana ang lahat. Upang gayahin ang pagiging labas ng iyong home network, maaari mo gamitin ang iyong smart aparato bilang isang hotspot habang nasa mobile data ito. Magbukas ng isang terminal at i-type, kapalit ng username ng isang account sa iyong host ng bastion at sa pag-setup ng address sa hakbang A sa itaas:

ssh -p 52739 @

Kung ang lahat ay naka-set up nang tama, dapat mo na ngayong makita ang terminal window ng iyong bastion host.

3. Tunneling

Maaari mong lagusan ang anumang bagay sa pamamagitan ng SSH (sa loob ng dahilan). Halimbawa, kung nais mong makakuha ng access sa isang pagbabahagi ng SMB sa iyong home network mula sa internet, kumonekta sa iyong host ng bastion at buksan ang isang lagusan sa pagbabahagi ng SMB. Tapusin ang pangkukulam na ito sa pamamagitan lamang ng pagpapatakbo ng utos na ito:

ssh -L 15445::445 -p 52739 @

Ang isang aktwal na utos ay magmumukhang kagaya ng:

ssh - L 15445:10.1.2.250:445 -p 52739 yusuf@makeuseof.ddns.net

Madali ang paglabag sa utos na ito. Kumokonekta ito sa account sa iyong server sa pamamagitan ng panlabas na SSH port ng iyong router 52739. Ang anumang lokal na trapiko na ipinadala sa port 15445 (isang di-makatwirang port) ay ipapadala sa pamamagitan ng lagusan, pagkatapos ay ipasa sa makina gamit ang IP ng 10.1.2.250 at ang SMB daungan 445.

Kung nais mong maging talagang matalino, maaari naming i-alias ang buong utos sa pamamagitan ng pagta-type:

alias sss='ssh - L 15445:10.1.2.250:445 -p 52739 yusuf@makeuseof.ddns.net'

Ngayon ang kailangan mo lang i-type ang terminal sss , at bob's tito mo.

Kapag nagawa ang koneksyon, maaari mong ma-access ang iyong pagbabahagi ng SMB sa address:

smb://localhost:15445

Nangangahulugan ito na magagawa mong i-browse ang lokal na pagbabahagi mula sa internet na parang nasa lokal na network. Tulad ng nabanggit, maaari mong halos maraming lagusan sa anumang bagay sa SSH. Kahit na ang mga Windows machine na may naka-on na remote na desktop ay maaaring ma-access sa pamamagitan ng isang SSH tunnel.

Recap

Ang artikulong ito ay sumaklaw ng higit pa sa isang host ng bastion, at nagawa mong mabuti upang magawa ito hanggang dito. Ang pagkakaroon ng isang host ng bastion ay nangangahulugang ang iba pang mga aparato na may mga serbisyo na nakalantad ay protektado. Tinitiyak din nito na maaari mong ma-access ang mga mapagkukunang ito mula sa kahit saan sa mundo. Siguraduhin na ipagdiwang sa kape, tsokolate o pareho. Ang mga pangunahing hakbang na natalakay namin ay:

  • I-set up ang dynamic na DNS
  • Ipasa ang isang panlabas na port sa isang panloob na port
  • Lumikha ng isang lagusan upang ma-access ang isang lokal na mapagkukunan

Kailangan mo bang i-access ang mga lokal na mapagkukunan mula sa internet? Gumagamit ka ba ngayon ng isang VPN upang makamit ito? Gumamit ka na ba ng mga SSH tunnel dati?

Credit sa Larawan: TopVector / Mga deposito

Magbahagi Magbahagi Mag-tweet Email 3 Mga Paraan upang Suriin kung Ang isang Email Ay Totoo o Pekeng

Kung nakatanggap ka ng isang email na mukhang medyo nagdududa, palaging pinakamahusay na suriin ang pagiging tunay nito. Narito ang tatlong paraan upang malaman kung ang isang email ay totoo.

Basahin Susunod Mga Kaugnay na Paksa
  • Linux
  • Seguridad
  • Online Security
  • Linux
Tungkol sa May-akda Yusuf Limalia(49 na Artikulo Na-publish)

Nais ni Yusuf na mabuhay sa isang mundo na puno ng mga makabagong negosyo, mga smartphone na kasama ng maitim na inihaw na kape at mga computer na mayroong mga hydrophobic force na patlang na bukod sa pagtataboy ng alikabok. Bilang isang analyst sa negosyo at nagtapos ng Durban University of Technology, na may higit sa 10 taong karanasan sa isang mabilis na lumalagong industriya ng teknolohiya, nasisiyahan siya sa pagiging gitnang tao sa pagitan ng mga teknikal at hindi panteknikal na tao at tinutulungan ang bawat isa na bumilis sa dumudugo na teknolohiya ng gilid.

Higit pa Mula kay Yusuf Limalia

Mag-subscribe sa aming newsletter

Sumali sa aming newsletter para sa mga tip sa tech, pagsusuri, libreng ebook, at eksklusibong deal!

Mag-click dito upang mag-subscribe