Вопрос или проблема
Я технически подкован, но сети не мое, поэтому я прошу помощи (думаю, это подходящее место).
Теперь мне нужно путешествовать по работе. Я хочу иметь возможность получить доступ к моему домашнему ПК откуда-то, чтобы заниматься делами, которые я не могу сделать по телефону.
Моя идея была в том, чтобы построить сервер Ubuntu на старом ноутбуке, чтобы использовать его как бастион. Войти в бастион. Оттуда я планировал подключиться к ПК с помощью Remmina.
Безопасность — моя тревога!!! Я не хочу раскрывать данные и не хочу, чтобы кто-то взломал мою домашнюю сеть.
Должен ли бастион быть перед маршрутизатором Synology RT6600AX? После (открыть порт)?
Если я использую точку доступа телефона, могу ли я ограничить доступ только к моему ПК?
Прилагаю диаграмму того, что я имел в виду
Также было интересно, будет ли лучше купить какой-нибудь доверенный сертификат
Я совсем не прав?
Ответ или решение
Создание удаленного доступа к домашней сети – это задача, требующая понимания основ сетевой безопасности и технической реализации. В описанной вами ситуации вы хотите настроить доступ к домашнему ПК через Ubuntu сервер, который будет выполнять роль узла-бастиона. Давайте рассмотрим эту идею с точки зрения теоретической основы, практического внедрения и потенциального применения в реальной жизни.
Теория
Для создания безопасного удаленного доступа к домашней сети необходимо учесть несколько ключевых аспектов: безопасность соединения, топология сети и система авторизации. Узел-бастион – это сервер, который служит связующим звеном между внешней сетью и вашей домашней сетью. Он помогает защитить остаток инфраструктуры от прямого доступа, упрощая управление доступом и предоставляя централизованную точку наблюдения.
Главная цель – минимизировать поверхность атаки и предотвратить несанкционированный доступ. Это можно обеспечить следующим образом:
-
Использование SSH-туннелирования: Secure Shell (SSH) – это протокол, который используется для безопасного подключения к серверу. Настройка SSH на вашем Ubuntu сервере позволит создать защищенное соединение с удаленного компьютера.
-
Многофакторная аутентификация (MFA): Использование MFA добавляет дополнительный уровень безопасности, требуя для аутентификации не только пароль, но и другой фактор, например, код, отправляемый на ваш телефон.
-
VPN-соединение: Виртуальная частная сеть (VPN) также предоставляет безопасный туннель между вашей мобильной точкой доступа и домашней сетью.
-
Сертификация SSL/TLS: Хотя упоминается покупка доверенного сертификата, прежде всего, это может быть актуально для услуг, которые требуют подтверждения подлинности сайта. В вашем случае, если вы используете собственные доменные имена для VPN или сервера, сертификат поможет увеличить доверенность соединения.
Пример
Рассмотрим пример настройки удаленного доступа через SSH. Вы устанавливаете Ubuntu сервер на старом ноутбуке, подключенном к вашему домашнему маршрутизатору Synology RT6600AX. Следующий шаг – это:
-
Настройка SSH: Установите OpenSSH на сервере. Это можно сделать с помощью команды
sudo apt install openssh-server. -
Открытие порта: В маршрутизаторе откройте порт 22 для перенаправления трафика на IP-адрес вашего Ubuntu сервера. Убедитесь, что ваш маршрутизатор не использует стандартный порт 22 для защиты от автоматизированных атак.
-
Конфигурация брандмауэра: Настройте firewall (например, UFW) для разрешения только определенных IP-адресов или диапазонов, если это возможно, и закрытия всех других портов.
-
SSH-ключи: Убедитесь в повышенной безопасности, разрешив доступ только с использованием SSH-ключей вместо паролей.
-
Многофакторная аутентификация: Добавьте MFA с помощью приложения для генерирования одноразовых паролей (например, Google Authenticator).
Применение
Когда теория и пример поселены, давайте рассмотрим, как применение этих фактов позволит вам достичь цели. Предложенные шаги обеспечивают безопасный доступ к домашней сети с минимальными затратами и с максимальной степенью защиты:
-
Используя Ubuntu узел-бастион: как оригинальный подход к безопасности, вы имеете доступ только к серверу, а не ко всей сети. Это значит, что плюс один уровень защиты стоит на пути злоумышленников.
-
SSH-туннелирование и VPN в комбинации: это обеспечит высокую защиту данных, даже если доступ осуществляется из публичного вай-фая в кафе.
-
Брандмауэр как контрольная точка доступа: позволит вам сузить круг потенциальных IP-адресов, которые могут пытаться войти в вашу сеть.
-
Многофакторная аутентификация и SSH-ключи: эти меры помогут защитить ваш узел-бастион от атак методом подбора паролей, предоставляя при этом гибкость и удобство для пользователя.
Подводя итог, исполнение данного процесса потребует небольших технических усилий при первоначальной настройке, но значительно увеличит безопасность доступа к вашим домашним устройствам. С данными мерами, вы можете путешествовать с уверенностью, зная, что ваша домашняя сеть надежно защищена.