Віддалений доступ до машини Linux за брандмауером

Я буду розгортати машину Linux як своєрідний громадський термінал у віддаленому місці. Я хотів би мати доступ до нього дистанційно через SSH для обслуговування, але я не хочу тримати порт відкритим на віддаленому брандмауері в рідкісні випадки, коли мені потрібно отримати доступ до цієї машини. Я хоч і про простий скрипт, щоб створити зворотний тунель SSH на машині ззовні, але я не хотів би, щоб користувач мав нічого робити, коли мені потрібно отримати доступ до нього. Будь-які ідеї?

Оновлення: я вирішив розпочати свій оригінальний план сценарію для створення зворотного ssh-тунелю. Хоча інші запропоновані рішення, наприклад, стукання портів, будуть більше узгоджуватись із тим, що я дійсно хочу зробити, у цьому випадку я не маю жодного доступу для налаштування маршрутизатора, окрім прогулянки користувача через конфігурацію. здригаються

Це менше стосується того, щоб потурбуватися про те, щоб порт відкритий, а більше - не бажаючи ходити за користувачем, хоч процес відкриття порту. На жаль, у мене взагалі немає доступу до цього маршрутизатора.

Якщо про зміну маршрутизатора зовсім не виникає сумніву, можливо, вам доведеться переглянути рішення P2P або VPN, як Hamachi . Якщо ви налаштуєте систему для автоматичного встановлення VPN-з'єднання при запуску, вам слід мати змогу підключатися, коли вам потрібно. Hamachi робить усі переговори про брандмауер за вас. Єдиним недоліком є ​​те, що ви повинні покластися на те, що сервери Hamachi справні та функціональні, коли вам потрібно підключитися.

Якщо у вас постійно працює сервер, ви можете налаштувати автоматичну роботу, щоб віддалена система завжди тримала тунель відкритим і підключений до вашого сервера. Один недолік - компрометована віддалена система, вони зловмисники отримають ключі, які використовуються для встановлення сеансу ssh. Було б дуже важливо зберегти вашу систему, яка приймає ssh-з'єднання, дійсно заблокованою.

Нижче моя оригінальна відповідь, я припускав, що оновлення маршрутизатора - це варіант.

Одне з варіантів, яке ви хочете вивчити, якщо брандмауер підтримує його, - це стукання порту . За допомогою деяких брандмауерів має бути можливість надсилати спеціальний набір пакетів, які брандмауер помічає, а потім тимчасово відкриває отвір через брандмауер.

Є багато реалізацій, які краще, ніж інші. Деякі використовують сильну криптографію, щоб зробити людину без правильних клавіш майже неможливою відправити правильний стук.

Я б не турбувався про те, щоб залишити порт 22 доступним для Інтернету, але я б вжив певних кроків для його захисту.

По-перше, відключіть інтерактивну аутентифікацію клавіатури та перейдіть до ssh-клавіш.

По-друге, встановіть щось на кшталт fail2ban на віддаленому сервері, щоб заштрихувати IP-адреси, які повторно перевіряють вашу машину. Оскільки у вас є ключі налаштування ssh, не повинно бути помилок аутентифікації для авторизованих користувачів.

Якщо ви можете, скористайтеся порадою WerkkreWs і налаштуйте брандмауер перед пристроєм для припинення з'єднання vpn, тоді дозвольте лише демон ssh на віддаленому сервері приймати з'єднання, що надходять через цей vpn.

Крім того, якщо ваш брандмауер не може перервати з'єднання vpn, ви, ймовірно, можете переслати пакети GRE або IPSEC на вашу машину Linux і завершити його там.

Це здається, що ви шукаєте стук

Ви можете встановити це на самому сервері Linux, за допомогою iptables, так що це схоже на брандмауер другого рівня. Навіть якщо порт 22 відкритий на фронтальному брандмауері, він би не був відкритий на сервері, тому портикани не побачать жодних відкритих портів. Потім, коли ви відправляєте "таємний стук", раптом у вас відкритий шлях до порту 22.

Чи має це сенс?

Щоб підбити підсумки всіх відповідей:

використовувати ssh, але зробити його більш незрозумілим та захищеним.

Для безпеки:

• Переконайтесь, що вхід у корінь не дозволено (PermitRootLogin ні).
• Обмежити користувачів, які можуть увійти за допомогою параметра налаштування AllowUsers або AllowGroups.
• Переконайтеся, що він використовує лише 2 протоколи ssh (протокол 2).
• Доцільно використовувати тільки ключі аутентифікації, але пароль зручніше, коли може виникнути необхідність підключення до сервера з відпустки, де у вас немає доступу до ключів аутентифікації.

Для незрозумілості:

• Змініть ssh-порт на якийсь випадковий високий порт, який ви б пам’ятали, як, наприклад, 20486. Це дозволить позбутися більшості автоматичних брутефорсерів, але це не приховуватиме його від усієї перевірки портів на сервері.
• Приховати можливість підключення до порту. Один із способів - це стукіт портів, згаданий в інших відповідях, але вам потрібне спеціальне програмне забезпечення, яке не може бути доступним скрізь. Ще один простий варіант - використовувати брандмауер iptables з останнім модулем для створення правила, яке дозволить підключитися лише під час другої або третьої спроби. Отже, ви знаєте, що вам доведеться кілька разів спробувати підключитися успішно, але просте сканування всіх портів не виявить ssh-порт. Правила будуть подібними до таких:

iptables -A INPUT -m tcp -p tcp --dport 20486 -m state --state NEW -m recent --set
iptables -A INPUT -m tcp -p tcp --dport 20486 -m state --state NEW  -m recent --rcheck --seconds 60 --hitcount 2 -j ACCEPT
iptables -A INPUT -m tcp -p tcp --dport 20486 -j DROP

Заплановано завдання скрипт для зворотного SSH тунелю або відкрийте порт брандмауера.

Якщо ви турбуєтесь про те, щоб SSH був відкритий для світу, ви можете запланувати завдання, коли у вас буде період технічного обслуговування зі скриптами iptables, і лише тоді буде доступний порт.

Погляньте на стукіт портів, щоб відкрити свій тунель SSH.

Крім того, запустіть заборонені блоки, щоб заблокувати людей після занадто багато поганих запитів.

Обидва пакети доступні у стандартних сховищах Ubuntu, Fedora та RHEL.

Вперед і відкрийте порт, просто зробіть його поза межами нормального діапазону. Я зробив би це якийсь випадковий порт за 1024. Таким чином, хакерам навряд чи вдасться його шукати.

Немає причин не тріпати отвір у брандмауері, якщо вам потрібен доступ до машини віддалено, проте нечасто.

Однак якщо ви все-таки не хочете (або не можете) відкрити порт, простий скрипт оболонки може відслідковувати деякий доступний в Інтернеті ресурс, яким ви керуєте та слухаєте команду для запуску зворотного тунелю. Облікові записи електронної пошти, канали IRC та веб-сторінки одразу приходять в голову як тригерні пристрої.

Звичайно, це набагато крихкіше і менш безпечно, ніж просто відкрити порт. Але я впевнений, що у вас є свої причини.