Lindungi rangkaian komputer anda dengan hos Bastion hanya dalam 3 langkah

Adakah anda mempunyai komputer pada rangkaian tempatan anda yang memerlukan akses luaran? Menggunakan hos benteng sebagai "penjaga pintu" untuk rangkaian anda boleh menjadi penyelesaian yang baik.

Apakah hos Bastion ?

Bastion secara literal diterjemahkan kepada tempat yang diperkaya. Dalam istilah komputer, ia adalah mesin pada rangkaian yang boleh menjadi penjaga pintu untuk sambungan masuk dan keluar.

Definisi Wikipedia: Hos benteng ialah komputer tujuan khas pada rangkaian, direka dan dikonfigurasikan khusus untuk menahan serangan. Pelayan benteng biasanya mengehoskan hanya satu aplikasi, contohnya pelayan proksi , perkhidmatan lain dialih keluar atau dihadkan untuk meminimumkan ancaman kepada komputer. Sebab mengapa hos benteng berwayar keras adalah kerana lokasi dan tujuan khasnya, biasanya terletak di luar tembok api atau dalam DMZ (kawasan rangkaian neutral antara rangkaian dalaman dan Internet) dan selalunya melibatkan akses daripada rangkaian yang tidak dipercayai atau komputer.

Anda boleh menyediakan hos benteng sebagai satu-satunya mesin yang menerima sambungan daripada Internet. Kemudian, pada gilirannya, sediakan semua mesin lain pada rangkaian untuk hanya menerima sambungan masuk daripada hos benteng ini.

Manfaat persediaan ini ialah keselamatan. Hos benteng boleh menyediakan keselamatan yang sangat ketat. Ia akan menjadi barisan pertama pertahanan keselamatan terhadap mana-mana penceroboh dan memastikan komputer yang tinggal dilindungi. Selain itu, ia juga menjadikan persediaan rangkaian lebih mudah. Daripada memajukan port pada penghala , anda hanya perlu memajukan port ke hos Bation, dari sana, anda boleh bercabang ke mesin lain yang perlu mengakses rangkaian peribadi. Butiran isu akan disebutkan dalam bahagian seterusnya.

Gambar rajah persediaan rangkaian

Ini ialah contoh tetapan rangkaian biasa. Jika anda perlu mengakses rangkaian rumah anda dari luar, anda boleh melakukannya melalui Internet. Penghala akan memajukan sambungan itu ke hos benteng. Setelah disambungkan ke hos benteng, anda boleh mengakses mana-mana mesin lain pada rangkaian. Begitu juga, tidak akan ada akses terus dari Internet ke mesin selain daripada hos benteng.

1. Sistem Nama Domain Dinamik ( Dynamic DNS )

Pasti ramai yang tertanya-tanya bagaimana untuk mengakses penghala di rumah melalui Internet. Kebanyakan pembekal perkhidmatan Internet (ISP) memberikan pengguna alamat IP sementara yang berubah secara tetap. Pembekal perkhidmatan Internet sering mengenakan bayaran tambahan untuk alamat IP statik . Berita baiknya ialah penghala hari ini selalunya mempunyai sistem nama domain dinamik dalam tetapan.

Sistem nama domain dinamik mengemas kini nama hos dengan alamat IP baharu pada selang masa tertentu, memastikan pengguna sentiasa boleh mengakses rangkaian rumah mereka. Terdapat banyak pembekal dengan perkhidmatan di atas seperti Noip.com, yang juga mempunyai peringkat percuma. Ambil perhatian bahawa peringkat percuma akan memerlukan pengesahan nama pelayan setiap 30 hari.

Setelah log masuk, hanya buat nama pelayan, yang mesti unik. Jika anda memiliki penghala Netgear, mereka menyediakan perkhidmatan DNS dinamik percuma dan tidak memerlukan pengesahan bulanan.

Sekarang log masuk ke penghala anda dan cari tetapan DNS dinamik. Penghala yang berbeza akan mempunyai tetapan yang berbeza, lihat manual pengguna penghala untuk cara menyediakan. Biasanya anda perlu memasukkan maklumat dalam empat tetapan berikut:

1. Pembekal
2. Nama domain (nama pelayan baru dibuat)
3. Nama pengguna (alamat e-mel yang digunakan untuk membuat DNS dinamik)
4. Kata laluan

Jika penghala anda tidak mempunyai tetapan DNS dinamik, No-IP menyediakan perisian yang boleh dipasang pada komputer anda. Ambil perhatian bahawa komputer mesti sentiasa dalam talian untuk mengemas kini DNS dinamik.

2. Port ke hadapan atau ubah hala

Penghala hari ini perlu mengetahui tempat untuk memajukan sambungan masuk, berdasarkan nombor port pada sambungan masuk. Pengguna tidak boleh menggunakan port SSH lalai 22 kerana penggodam mempunyai alat yang boleh menyemak port biasa dan boleh mengakses rangkaian rumah anda dengan mudah. Sebaik sahaja mereka menyedari bahawa penghala menerima sambungan pada port lalai, mereka akan mula menghantar permintaan sambungan dengan nama pengguna dan kata laluan biasa.

Walaupun memilih port rawak tidak sepenuhnya menghalang masalah ini, ia boleh mengurangkan bilangan permintaan yang datang ke penghala. Jika penghala anda hanya boleh memajukan port yang sama, anda harus menetapkan hos benteng untuk menggunakan pengesahan kunci SSH dan bukan nama pengguna dan kata laluan.

Pasang penghala seperti yang ditunjukkan di bawah:

1. Nama perkhidmatan boleh SSH
2. Protokol (perlu ditetapkan kepada TCP)
3. Pelabuhan awam (sepatutnya port tinggi, bukan 22, gunakan 52739)
4. Alamat IP peribadi (IP hos Bastion)
5. Port peribadi (port SSH lalai ialah 22)

Benteng

Satu-satunya perkara yang diperlukan oleh benteng ialah SSH. Jika SSH tidak dipilih semasa pemasangan, taip sahaja:

sudo apt install OpenSSH-client

sudo apt install OpenSSH-server

Setelah SSH dipasang, pastikan anda menyediakan pelayan SSH untuk mengesahkan dengan kunci dan bukannya kata laluan, alamat IP hos benteng adalah sama dengan alamat IP yang ditetapkan dalam peraturan pemajuan di atas.

Anda boleh melakukan ujian pantas untuk memastikan semuanya berfungsi dengan baik. Untuk mensimulasikan di luar rangkaian rumah anda, anda boleh menggunakan peranti pintar anda sebagai tempat liputan menggunakan data mudah alih. Buka tetingkap terminal dan masukkan, menggantikannya dengan nama pengguna akaun pada hos benteng dan dengan persediaan alamat dalam langkah di atas:

ssh -p 52739 @

Jika semuanya telah disediakan dengan betul, anda akan melihat tetingkap terminal hos benteng.

3. Buat terowong

Anda membuat terowong melalui SSH. Contohnya, jika anda ingin mengakses bahagian SMB pada rangkaian rumah anda daripada Internet, sambungkan ke hos benteng dan buka terowong ke bahagian SMB dengan menjalankan arahan berikut:

ssh -L 15445::445 -p 52739 @

Sebagai contoh, arahan di atas akan berfungsi

ssh - L 15445:10.1.2.250:445 -p 52739 yusuf@makeuseof.ddns.net

Perintah di atas bersambung ke akaun pada pelayan anda melalui port SSH luaran penghala 52739. Sebarang trafik yang dihantar ke port 15445 (port arbitrari) akan dihantar melalui terowong, kemudian dimajukan ke mesin dengan alamat IP 10.1.2.250 dan port SMB 445 .

Anda juga boleh menamakan keseluruhan arahan dengan menaip:

alias sss='ssh - L 15445:10.1.2.250:445 -p 52739 yusuf@makeuseof.ddns.net'

Setelah disambungkan, anda boleh mengakses bahagian SMB dengan alamat:

smb://localhost:15445

Ini bermakna anda akan dapat menyemak imbas bahagian tempatan dari Internet seolah-olah anda berada di rangkaian tempatan.

Semoga berjaya!

Lihat lagi:

• Arahan untuk penggunaan dan keselamatan rangkaian Wifi
• Keselamatan rangkaian dan keperluan untuk mengetahui
• Arahan tentang cara melindungi rangkaian WiFi daripada KRACK