Bastion 호스트로 단 3단계만으로 컴퓨터 네트워크를 보호하세요

로컬 네트워크에 외부 액세스가 필요한 컴퓨터가 있습니까? 요새 호스트를 네트워크의 "게이트키퍼"로 사용하는 것이 좋은 솔루션이 될 수 있습니다.

Bastion 호스트 란 무엇입니까 ?

바스티온(Bastion)은 문자 그대로 요새화된 장소를 의미합니다. 컴퓨터 용어로 말하면, 들어오고 나가는 연결의 문지기 역할을 할 수 있는 네트워크상의 기계입니다.

Wikipedia 정의: 배스천 호스트는 공격을 견딜 수 있도록 특별히 설계 및 구성된 네트워크의 특수 목적 컴퓨터입니다. 요새 서버는 일반적으로 프록시 서버와 같은 단일 애플리케이션만 호스팅하며, 컴퓨터에 대한 위협을 최소화하기 위해 다른 서비스는 제거되거나 제한됩니다. 배스천 호스트가 유선으로 연결되는 이유는 특별한 위치와 목적 때문이며 일반적으로 방화벽 외부나 DMZ(내부 네트워크와 인터넷 사이의 중립 네트워크 영역)에 위치하며 신뢰할 수 없는 네트워크 또는 컴퓨터.

요새 호스트를 인터넷 연결을 허용하는 유일한 시스템으로 설정할 수 있습니다. 그런 다음 이 요새 호스트로부터 들어오는 연결만 수신하도록 네트워크의 다른 모든 시스템을 설정합니다.

이 설정의 이점은 보안입니다. Bastion 호스트는 매우 엄격한 보안을 제공할 수 있습니다. 이는 침입자에 대한 첫 번째 보안 방어선이 되며 나머지 컴퓨터도 보호됩니다. 또한 네트워크 설정도 더 쉬워집니다. 라우터에서 포트를 전달하는 대신 Bation 호스트로 포트를 전달하기만 하면 됩니다. 여기서 개인 네트워크에 액세스해야 하는 다른 시스템으로 분기할 수 있습니다. 문제에 대한 자세한 내용은 다음 섹션에서 언급하겠습니다.

네트워크 설정 다이어그램

이는 일반적인 네트워크 설정의 예입니다. 외부에서 홈 네트워크에 액세스해야 하는 경우 인터넷을 통해 액세스할 수 있습니다. 라우터는 해당 연결을 요새 호스트로 전달합니다. 요새 호스트에 연결되면 네트워크의 다른 시스템에 액세스할 수 있습니다. 마찬가지로 인터넷에서 요새 호스트 이외의 시스템에 직접 액세스할 수 없습니다.

1. 동적 도메인 이름 시스템( 동적 DNS )

확실히 많은 사람들이 집에서 인터넷을 통해 라우터에 액세스하는 방법을 궁금해하고 있습니다. 대부분의 인터넷 서비스 제공업체(ISP)는 사용자에게 정기적으로 변경되는 임시 IP 주소를 할당합니다. 인터넷 서비스 제공업체는 종종 고정 IP 주소 에 대해 추가 비용을 청구합니다 . 좋은 소식은 오늘날의 라우터에는 설정에 동적 도메인 이름 시스템이 있는 경우가 많다는 것입니다.

동적 도메인 이름 시스템은 특정 간격으로 새로운 IP 주소로 호스트 이름을 업데이트하여 사용자가 항상 홈 네트워크에 액세스할 수 있도록 합니다. Noip.com과 같이 위의 서비스를 제공하는 제공업체가 많으며 무료 등급도 있습니다. 무료 계층에서는 30일마다 서버 이름 확인이 필요합니다.

로그인한 후에는 고유해야 하는 서버 이름을 생성하기만 하면 됩니다. Netgear 라우터를 소유하고 있는 경우 무료 동적 DNS 서비스를 제공하며 월별 확인이 필요하지 않습니다.

이제 라우터에 로그인하여 동적 DNS 설정을 찾으세요. 라우터마다 설정이 다릅니다. 설정 방법은 라우터 사용자 설명서를 참조하세요. 일반적으로 다음 네 가지 설정에 정보를 입력해야 합니다.

1. 공급자
2. 도메인 이름(방금 만든 서버 이름)
3. 사용자 이름(동적 DNS를 생성하는 데 사용되는 이메일 주소)
4. 비밀번호

라우터에 동적 DNS 설정이 없는 경우 No-IP는 컴퓨터에 설치할 수 있는 소프트웨어를 제공합니다. 동적 DNS를 업데이트하려면 컴퓨터가 항상 온라인 상태여야 합니다.

2. 포트 전달 또는 리디렉션

오늘날의 라우터는 들어오는 연결의 포트 번호를 기반으로 들어오는 연결을 어디로 전달할지 알아야 합니다. 해커가 공통 포트를 확인하고 홈 네트워크에 쉽게 액세스할 수 있는 도구를 가지고 있으므로 사용자는 기본 SSH 포트 22를 사용해서는 안 됩니다 . 라우터가 기본 포트에서 연결을 수락한다는 사실을 알게 되면 공통 사용자 이름과 비밀번호를 사용하여 연결 요청을 보내기 시작합니다.

임의의 포트를 선택한다고 해서 이 문제가 완전히 방지되는 것은 아니지만 라우터로 들어오는 요청 수를 줄일 수 있습니다. 라우터가 동일한 포트만 전달할 수 있는 경우 사용자 이름과 비밀번호가 아닌 SSH 키 인증을 사용하도록 배스천 호스트를 설정해야 합니다.

아래와 같이 라우터를 설치합니다.

1. 서비스 이름은 SSH일 수 있습니다.
2. 프로토콜(TCP로 설정해야 함)
3. 공용 포트(22가 아닌 상위 포트여야 함, 52739 사용)
4. 개인 IP 주소(Bastion 호스트의 IP)
5. 개인 포트(기본 SSH 포트는 22)

능보

Bastion에 필요한 유일한 것은 SSH입니다. 설치 중에 SSH를 선택하지 않은 경우 다음을 입력하십시오.

sudo apt install OpenSSH 클라이언트

sudo apt install OpenSSH 서버

SSH가 설치되면 비밀번호 대신 키로 인증하도록 SSH 서버를 설정해야 합니다. 배스천 호스트의 IP 주소는 위 전달 규칙에 설정된 IP 주소와 동일합니다.

모든 것이 제대로 작동하는지 확인하기 위해 빠른 테스트를 수행할 수 있습니다. 홈 네트워크 외부에서 시뮬레이션하려면 모바일 데이터를 사용하여 스마트 장치를 핫스팟으로 사용할 수 있습니다. 터미널 창을 열고 입력하고 이를 요새 호스트의 계정 사용자 이름과 위 단계에서 설정한 주소로 바꿉니다.

SSH -p 52739 @

모든 것이 올바르게 설정되면 요새 호스트 터미널 창이 표시됩니다.

3. 터널 생성

SSH를 통해 터널을 생성합니다. 예를 들어, 인터넷에서 홈 네트워크의 SMB 공유에 액세스하려면 다음 명령을 실행하여 배스천 호스트에 연결하고 SMB 공유에 대한 터널을 엽니다.

ssh -L 15445::445 -p 52739 @

예를 들어, 위 명령은 작동합니다

ssh - L 15445:10.1.2.250:445 -p 52739 [email protected]

위 명령은 라우터 외부 SSH 포트 52739를 통해 서버의 계정에 연결합니다. 포트 15445(임의 포트)로 전송된 모든 트래픽은 터널을 통해 전송된 다음 IP 주소 10.1.2.250 및 SMB 포트 445를 사용하는 시스템으로 전달됩니다. .

다음을 입력하여 전체 명령을 익명화할 수도 있습니다.

별칭 sss='ssh - L 15445:10.1.2.250:445 -p 52739 [email protected]'

연결되면 다음 주소로 SMB 공유에 액세스할 수 있습니다.

smb://localhost:15445

즉, 로컬 네트워크에 있는 것처럼 인터넷에서 로컬 공유를 찾아볼 수 있습니다.

당신의 성공을 기원합니다!

더보기:

• 사용 및 Wi-Fi 네트워크 보안 지침
• 네트워크 보안과 알아야 할 필요성
• KRACK으로부터 WiFi 네트워크를 보호하는 방법에 대한 지침