Dotaz: Tipy na zabezpečení "žákovského" ssh serveru

[alojs]

Ahoj. Stavím ssh server pro připojení žáků střední školy do místní sítě z domova. Určitě nechci umožnit neomezený přístup do celé místní sítě z tohoto ssh serveru. Tak bych prosím chtěl znát nějaké tipy na zabezpečení takového řešení. Určitě zakážu ssh forwarding. Pak mě napadlo řešit přístup k jednotlivým ip v místní síti prostřednictvím firewallu přímo na tom ssh serveru + vymazat routy do některých vlan (používáme několik vlan) a na switchi zakázat mac adresu ssh serveru pro některé porty (nejsem si jistý zda to pujde).

Odpovědi

[pht]

Jestli vas pripad chapu dobre, tak mate 3 zony, interni sit, internet, a ssh server, mezi kterejma chcete regulovat provoz. V tom pripade je stezejni reseni firewall. Pokud vyloucite moznost ziskat prava administratora, nebo chybu spravce, tak muze byt firewall i na ssh serveru samotnem. V opacnem pripade musi byt firewall mimo server na spojnici mezi zonama.

[NN]

OT: Nuvazoval jste o pouziti VPN pro pristup zaku z domova misto SSH ?

NN

[alojs]

VPN jsem vyloučil. Nemám žádný důvod k tomu poskytovat žákům přímý "kanál" do vnitřní sítě příp. do nějaké její části. Místo toho jsem volil to ssh, kde se sice také mohou dostat do vnitřní sítě, ale jen právě z toho ssh serveru, kde navíc poběží x2go NX server a bude tam spousta ve škole používaných aplikací.

[alanos]

Tak to snad jde jednoduše ošetřit přímo na VPN serveru. Openvpn serveru řeknete které sítě chcete zpřístupnit. SSH z venku po zkušenostech jedině přes kliče .../tečka/ .Pokud se mají přihlašovat přes jmeno a heslo tak jedině s VPN .

[NN]

Presne tak, VPN je sice kanal, ale jaka sluzba a do jake site potece se da presne vyspecifikovat Zaroven nebudete resit, ze vam nekdo denodene odstreluje SSH, pokud se nepustite do dalsich uchylnych protiopatreni a dalsich protiopatreni atd..

Postaveni VPN je jednoduche, ulehci vam mnoho casu a zaroven zvisi bezpecnost.

NN

[drunkezz]

urcite nezabudnite na grsecurity

D.

[Sten]

Lepší je zabezpečit to pomocí firewallu, nejlépe někde mezi zónami, případně přímo na samotném serveru. Případně bych doporučil použít lehkou virtualizaci, třeba OpenVZ nebo VSerever.

[Mordae]

Presne, dejte tam kontejner, zakazte vsechen treffic a whitelistujte. A pripojeni umoznete jen do toho kontejneru.