रिमोट मोड में सर्वर तक सुरक्षित पहुंच कैसे स्थापित करें

यहाँ हैबे पर पहले से ही दर्जनों लेख हैं जो बता रहे हैं कि कैसे लोगों ने एक दूरस्थ स्थान पर संक्रमण का अनुभव किया, कैसे उन्होंने एक दूरस्थ साइट के पहले दिनों का अनुभव किया, फिर - पहला सप्ताह कैसे चला, और इसी तरह। कभी-कभी भावनाओं के वर्णन के बीच कुछ व्यावहारिक सलाह फिसल जाती है। हम, दूरस्थ सर्वर प्रशासन में 12 साल के अनुभव वाले लोगों के रूप में, एक ऐसे उपकरण के बारे में बात करने का निर्णय लेते हैं जिसके बिना दूरस्थ सर्वर आपके व्यवसाय के लिए खतरनाक घटना में बदल जाता है। क्यों? - क्योंकि लोग कुछ भी सोचते हैं (सबसे पहले, बेशक, "ज़ूम" में शापित 40 मिनट के बारे में), लेकिन सुरक्षा के बारे में। अधिक सटीक रूप से, निश्चित रूप से, आपने इस मुद्दे के बारे में सोचा - लेकिन हमने शर्त रखी कि वह पहली पंक्ति में नहीं था?

और जवाबी सवाल: मुझे आश्चर्य है कि आपके विचारों के कारण क्या हुआ। आखिरकार, आपके सहयोगी, आरामदायक अपार्टमेंट और घरों में बैठे, असुरक्षित चैनलों के माध्यम से असुरक्षित उपकरणों के साथ जाते हैं और शाब्दिक रूप से कंपनी के सभी सर्वरों को छूते हैं ...

हम आपके साथ हमारी कंपनी में उपयोग किए गए टूल के एक ओपन-सोर्स संस्करण को साझा करना चाहते हैं। इसे DevOpsProdigy Isolate Authentication Server कहा जाता है ।

यह काम किस प्रकार करता है

1. पृथक एसएसएच लॉगिन में एक बार का पासवर्ड और दो-कारक प्रमाणीकरण जोड़ता है। आप इसके लिए YubiKey उपकरण या Google प्रमाणक एप्लिकेशन का उपयोग कर सकते हैं । यहां तक ​​कि अगर किसी उपयोगकर्ता ने अपने खाते से पासवर्ड खो दिया है, तो ओटीपी कुंजी के बिना, एक हमलावर इसका उपयोग नहीं कर सकता है और आइसोलेट सर्वर को प्राप्त कर सकता है। दो-कारक प्रमाणीकरण को लागू करने के लिए, हम पैम-मॉड्यूल का उपयोग करते हैं। इसके बारे में आप इस पुराने लेख में पढ़ सकते हैं ।

2. उपयोगकर्ताओं को अंतिम सर्वर तक सीधी पहुंच नहीं मिलती है - कनेक्शन आइसोलेट सर्वर से गुजरता है, और सिस्टम उनकी सभी गतिविधियों की निगरानी और रिकॉर्ड करता है।

सभी उपयोगकर्ता क्रियाएँ दो आदेशों का उपयोग करने के लिए नीचे आती हैं:

s <search-str>- प्रोजेक्ट नाम या सर्वर नाम से जानकारी खोजने के लिए, जानकारी अंतर्निहित रेडिस डेटाबेस में संग्रहीत की जाती है, जिसे प्राधिकरण द्वारा बंद कर दिया जाता है।

g <ip-address> / g <project-name> <server-name>- इस कमांड पर कॉल शुरू होती है /usd/bin/ssh । कॉल के लिए तर्क (उदाहरण के लिए, उपयोगकर्ता नाम, आईपी-पता, पोर्ट, प्रॉक्सी) डेटाबेस से लिए गए हैं।

3. प्रमाणीकरण सर्वर तक पहुंच का प्रबंधन करना आसान है - उपयोगकर्ताओं को जोड़ें / निकालें, आदि। आप रीडमी में आदेश के उपयोग पर उदाहरण की एक बड़ी संख्या पा सकते हैं auth-add-user, auth-add-hostआदि

तकनीकी तौर पर, आप पैदा करते हैं और गंतव्य सर्वर पर अलग सर्वर कुंजी लगाने की जरूरत है, और अपने उपयोगकर्ताओं ssh को sudo से अलग सर्वर के लिए नियमित रूप से पहुँच प्राप्त करना होगा।

और जब वे गंतव्य सर्वर से कनेक्ट करना चाहते हैं, तो सिस्टम ssh कमांड निष्पादित करेगा। अगला, ssh क्लाइंट, एक विशेषाधिकार प्राप्त उपयोगकर्ता से लॉन्च किया गया, एक कुंजी प्राप्त करेगा, जिसके उपयोग से सिस्टम, बदले में, वांछित सर्वर तक पहुंच प्राप्त करेगा।

बस इतना ही। आइसोलेट CentOS 7 / Ubuntu 16.04 / Debian 9 सेटअप पर चलता है । साथ ही 2.3.2 की भी आवश्यकता है ।

मैं यह नोट नहीं कर सकता कि DevOpsProdigy अलग हैयह "पीकटाइम" में भी उपयोगी है: आप अपने सर्वर के लिए इसके साथ शांत हो सकते हैं, भले ही कोई एसएसएच कुंजी के साथ लैपटॉप खो देता है। और जब एक कर्मचारी जिसके पास पहुंच थी, कंपनी छोड़ देता है, तो आपको सभी पासवर्ड और चाबियाँ बदलने के लिए जल्दी नहीं करना होगा। अब हम इस उपकरण के वर्तमान संस्करण के लिए सुधार और सुविधाओं की एक सूची तैयार कर रहे हैं, जो हमारे आंतरिक सिस्टम में लागू हैं। हम अपने गिथब रिपॉजिटरी में इच्छाओं, मुद्दे, पीआर की प्रतीक्षा कर रहे हैं । चर्चा और प्रश्नों के लिए, टेलीग्राम चैट और स्लैक में एक चैट भी है ।

तो अब आपकी कंपनी में रिमोट का काम थोड़ा आसान हो सकता है। और निश्चित रूप से - ज्यादा सुरक्षित। सौभाग्य