Accesso remoto a una macchina Linux dietro un firewall

Distribuirò una macchina Linux come una sorta di terminale pubblico in una posizione remota. Mi piacerebbe essere in grado di accedervi da remoto tramite SSH per la manutenzione, ma non voglio tenere una porta aperta sul firewall remoto per le rare occasioni in cui ho bisogno di accedere a questa macchina. Ho pensato a un semplice script per creare un tunnel SSH inverso verso una macchina all'esterno, ma preferirei che un utente non dovesse fare nulla quando devo accedervi. Qualche idea?

Aggiornamento: ho deciso di seguire il mio piano originale di uno script per creare un tunnel SSH inverso. Mentre altre soluzioni suggerite, come il port knocking sarebbero più in linea con ciò che voglio davvero fare, in questo caso, non ho alcun accesso per configurare il router se non per guidare un utente attraverso una configurazione. brivido

Ha meno a che fare con la preoccupazione di aprire una porta e più di non voler camminare un utente attraverso il processo di apertura di una porta. Purtroppo non ho alcun accesso a questo router.

Se la modifica del router è completamente fuori questione, potrebbe essere necessario esaminare una soluzione P2P o VPN come Hamachi . Se si imposta il sistema per stabilire automaticamente la connessione VPN all'avvio, si dovrebbe essere in grado di connettersi ogni volta che è necessario. Hamachi fa tutte le negoziazioni del firewall per te. L'unico inconveniente è che devi fare affidamento sul fatto che i server Hamachi siano attivi e funzionali quando devi connetterti.

Se si dispone di un server sempre attivo, è possibile impostare l' autossh in modo che il sistema remoto mantenga sempre un tunnel aperto e collegato al server. L'unico inconveniente è che il sistema remoto è compromesso dal momento che l'attaccante otterrà le chiavi utilizzate per stabilire la sessione SSH. Sarebbe molto importante mantenere il tuo sistema che accetta la connessione ssh davvero bloccato.

Di seguito è la mia risposta originale, avevo ipotizzato che l'aggiornamento del router fosse un'opzione.

Una soluzione che potresti voler esaminare se il firewall lo supporta è il port knocking . Con alcuni firewall dovrebbe essere possibile inviare un set speciale di pacchetti che il firewall rileva e quindi apre temporaneamente il foro attraverso il firewall.

Ci sono molte implementazioni alcune meglio di altre. Alcuni usano una forte crittografia per rendere quasi impossibile per una persona senza i tasti giusti inviare il colpo corretto.

Non sarei così preoccupato di lasciare la porta 22 accessibile a Internet, ma prenderei alcune misure per proteggerla.

Innanzitutto, disabilita l'autenticazione interattiva da tastiera e passa ai tasti ssh.

In secondo luogo, installa qualcosa di simile a fail2ban sul tuo server remoto su indirizzi IP blackball che sondano ripetutamente il tuo computer. Poiché hai le chiavi ssh di installazione, non dovrebbero esserci errori di autenticazione per gli utenti autorizzati.

In alternativa, se puoi, segui i consigli di WerkkreWs e configura il firewall davanti alla macchina per terminare una connessione VPN, quindi consenti solo al demone SSH sul server remoto di accettare le connessioni che attraversano quella VPN.

In alternativa, se il tuo firewall non è in grado di terminare la connessione VPN, probabilmente puoi inoltrare i pacchetti GRE o IPSEC alla tua macchina linux e terminarla lì.

Sembra che tu stia cercando knocked

Puoi installarlo sul server Linux stesso, con iptables in modo che sia un po 'come un firewall di secondo livello. Anche con la porta 22 aperta sul firewall front-end, non sarebbe aperta sul server, quindi i portieri non vedrebbero alcuna porta aperta. Quindi quando invii il "bussare segreto", all'improvviso hai un percorso aperto verso la porta 22.

Ha senso?

Per riassumere tutte le risposte:

usa ssh, ma rendilo più oscuro e sicuro.

Per sicurezza:

• Assicurarsi che l'accesso root non sia consentito (PermitRootLogin no).
• Limitare gli utenti, che possono accedere con l'opzione di configurazione AllowUsers o AllowGroups.
• Assicurarsi che utilizzi solo il protocollo ssh versione 2 (Protocollo 2).
• Si consiglia di utilizzare solo le chiavi di autenticazione, ma la password è più comoda, quando può essere necessario connettersi al server dalle vacanze in cui non si ha accesso alle chiavi di autenticazione.

Per oscurità:

• Cambia porta ssh in qualche porta alta casuale che ricordi, come 20486. Questo eliminerebbe la maggior parte dei bruteforcer automatici, ma non lo nasconderebbe da tutte le scansioni delle porte sul server.
• Nascondi la capacità di connettersi alla porta. Un modo è il port knocking menzionato in altre risposte, ma è necessario un software speciale, che non può essere accessibile ovunque. Un'altra semplice opzione è quella di utilizzare il firewall iptables con il modulo recente per creare una regola, che consentirebbe di connettersi solo al secondo o terzo tentativo. Quindi sai che devi provare più volte a connetterti con successo, ma una semplice scansione di tutte le porte non rivelerebbe la porta ssh. Le regole sarebbero simili a quelle:

iptables -A INPUT -m tcp -p tcp --dport 20486 -m state --state NEW -m recent --set
iptables -A INPUT -m tcp -p tcp --dport 20486 -m state --state NEW  -m recent --rcheck --seconds 60 --hitcount 2 -j ACCEPT
iptables -A INPUT -m tcp -p tcp --dport 20486 -j DROP

Attività pianificata lo script per il tunnel SSH inverso o aprire la porta del firewall.

Se sei preoccupato che SSH sia aperto al mondo, potresti programmare l'attività quando il tuo periodo di manutenzione con script iptables e solo la porta sarà disponibile.

Cerca di bussare alla porta per aprire il tunnel SSH.

Inoltre, esegui denyhosts per bloccare le persone dopo troppe richieste errate.

Entrambi i pacchetti sono disponibili nei repository Ubuntu, Fedora e RHEL standard.

Vai avanti e apri una porta, rendila unica al di fuori del normale intervallo. Lo farei una porta casuale oltre 1024. In questo modo è improbabile che gli hacker lo cerchino.

Nessun motivo per non creare un buco nel firewall se è necessario accedere alla macchina in remoto, per quanto raramente.

Tuttavia, se preferisci ancora non aprire (o non riuscire) ad aprire la porta, un semplice script shell potrebbe monitorare alcune risorse disponibili su Internet che controlli e ascoltare il comando per avviare il tunnel inverso. Gli account e-mail, i canali IRC e le pagine Web vengono immediatamente in mente come dispositivi di attivazione.

Naturalmente, questo è molto più fragile e meno sicuro della semplice apertura del porto. Ma sono sicuro che hai le tue ragioni.