SSH, отворен към целия интернет, привлича постоянно сканиране от първия час. Поставянето на административния достъп зад частен VPN свива тази експозиция: само клиентите вътре в тунела стигат до порт 22, контролните панели и базите данни. Стъпките по-долу работят на всеки Linux сървър.
Защо VPN плюс SSH ключове
- По-малка повърхност за атака. Скенерите никога не виждат портовете за управление.
- Две врати. Първо VPN потребителят, после SSH ключът.
- Стабилен списък с разрешени. На един специален VPN адрес е по-лесно да се вярва в защитната стена, отколкото на сменяща се домашна връзка.
- Лесно изречение за одит: административен достъп само през частен тунел.
Списък за заздравяване
- Активирайте Частния VPN и регистрирайте само административните устройства.
- На всеки сървър разрешете SSH и портовете на панелите от VPN адреса и отхвърлете всичко останало.
- Ползвайте SSH само с ключове: изключете входа с парола и директния root вход.
- Дръжте инструмент за блокиране като fail2ban за услугите, които трябва да останат публични, като уеб и поща.
- Документирайте авариен път през конзолата на доставчика, защото заключеният сървър има нужда от път обратно.
- Отнемете VPN потребителя в деня, в който някой си тръгва.
Тествайте новото правило от втора сесия, преди да затворите старата. Сгрешено правило на защитната стена е най-бързият начин да се заключите.
Грешки, които да избягвате
| Грешка | По-добре |
|---|---|
| Нестандартен SSH порт като единствена защита | Ключове и защитна стена; портът е по желание |
| Един общ VPN акаунт за всички администратори | По един именуван потребител |
| Правила за IPv4 без правила за IPv6 | Една и съща политика за двата стека |
| Панели на публични портове | Третирайте ги като SSH |
Записвайте кой е регистриран, кога са отнети профилите и кои обекти в защитната стена ползват VPN адреса. Тази следа има значение при одит. Списъкът за първия ден е в сигурност в първите 24 часа, а настройката за екип – в настройка на VPN за отдалечени служители. Сървъри за защита: облачни и специализирани.
Често задавани въпроси
Мога ли да оставя SSH публичен за всеки случай?
Можете и ще наследите постоянно сканиране. SSH само през VPN с резервен достъп през конзола е по-чисто.
Важен ли е специалният VPN адрес?
Да. Фиксираният адрес държи списъка с разрешени къс и стабилен.
Ами портовете на панелите?
Третирайте ги като SSH и ги дръжте само през VPN, където е възможно.
Ами ако VPN хостът падне?
Ползвайте конзолата на доставчика. Запишете стъпките, преди да ви потрябват.
