SSH w trybie bastionu¶

W tym rozdziale przedstawiony jest przykład podstawowej konfiguracji Fudo Enterprise, której celem jest monitorowanie połączeń SSH ze zdalnym serwerem. Scenariusz zakłada, że użytkownik łącząc się ze zdalnym serwerem, wykorzystując protokół SSH uwierzytelnia się przed Fudo Enterprise używając własnego loginu i hasła (john_smith/john). Nawiązując połączenie, użytkownik wskazuje w treści loginu nazwę użytkownika, login konta na serwerze docelowym oraz adres serwera docelowego. Połączenie realizowane jest za pośrednictwem portu numer 22, domyślnego dla protokołu SSH.

Fudo Enterprise zestawiając połączenie ze zdalnym serwerem dokonuje podmiany hasła i loginu na root/password (tryby uwierzytelniania opisane są w sekcji Tryby uwierzytelniania użytkowników).

../../_images/quickstart_overview_ssh_bastion.png

Założenia¶

Poniższy opis zakłada, że pierwsze uruchomienie urządzenia zostało prawidłowo przeprowadzone. Procedura pierwszego uruchomienia jest opisana w rozdziale Pierwsze uruchomienie.

Konfiguracja¶

Dodanie serwera

Serwer jest definicją zasobu infrastruktury IT, z którym istnieje możliwość nawiązania połączenia za pośrednictwem wskazanego protokołu.

Wybierz z lewego menu Zarządzanie > Serwery.
Kliknij Dodaj i wybierz opcję Serwer statyczny.

Uzupełnij parametry konfiguracyjne serwera:

Parametr	Wartość
Ogólne
Nazwa	ssh_server
Opis
Zablokowane
Protokół	`SSH`
Starszy szyfr
Adres źródłowy	`Dowolny`

Uprawnienia
Uprawnieni użytkownicy

Adresy serwerów
Adres IP	`192.168.0.100`
Port	`22`

W sekcji Weryfikacja serwera wybierz Klucz publiczny serwera i wprowadź klucz w polu tekstowym lub kliknij Pobierz klucz publiczny, aby pobrać klucz.
Kliknij Zapisz.

Dodanie użytkownika

Użytkownik definiuje podmiot uprawniony do nawiązywania połączeń z monitorowanymi serwerami. Szczegółowa definicja obiektu (unikatowa kombinacja loginu i domeny, pełna nazwa, adres email) pozwalają na jednoznaczne wskazanie osoby odpowiedzialnej za działania, w przypadku współdzielenia konta uprzywilejowanego.

Wybierz z lewego menu Zarządzanie > Użytkownicy.
Kliknij przycisk Dodaj.

Parametr	Wartość
Ogólne
Login	`john_smith`
Rola	`user`
Zablokowane
Ważność konta	`Bezterminowe`

Zakładka Ustawienia
Sejfy

Zakładka Dane Użytkownika
Domena Fudo
Domena AD
Baza LDAP
Imię i nazwisko	`John Smith`
Email
Organizacja
Telefon

Sekcja Uwierzytelnienie
Niepowodzenia uwierzytelnienia
Zastosuj złożoność hasła
Dodaj metodę uwierzytelnienia	`Hasło statyczne`
Hasło	`john`

Zakładka Uprawnienia
Uprawnieni użytkownicy

Kliknij Zapisz.

Dodanie gniazda nasłuchiwania

Gniazdo nasłuchiwania determinuje tryb połączenia serwera (proxy, brama, pośrednik, przezroczysty) oraz protokół komunikacji.

Wybierz z lewego menu Zarządzanie > Gniazda nasłuchiwania.
Kliknij Dodaj.

Uzupełnij parametry konfiguracyjne:

Parametr	Wartość
Nazwa	`ssh_listener`
Zablokowane
Protokół	`SSH`
Starszy szyfr
Nierozróżnianie wielkości liter
Uprawnienia
Uprawnieni użytkownicy
Tryb połączenia	`Bastion`
Adres lokalny	`10.0.150.151`
Port	22
Adres zewnętrzny
Port zewnętrzny

Kliknij i, aby wygenerować klucz SSH lub i, aby wgrać klucz prywatny serwera.

Uwaga

Ze względów bezpieczeństwa, formularz wyświetla klucz publiczny odpowiadający wgranemu lub wygenerowanemu kluczowi prywatnemu.

Kliknij Zapisz.

Uwaga

Upewnij się, że w ustawieniach sieciowych, na wskazanym adresie IP nie jest ustawiona funkcja Panel Administracyjny.

Dodanie konta

Konto stanowi definicję konta uprzywilejowanego na monitorowanym serwerze. Obiekt określa tryb uwierzytelnienia użytkowników: anonimowe (bez uwierzytelnienia), zwykłe (z podmianą loginu i hasła) lub z przekazywaniem danych logowania; politykę zmiany haseł a także login i hasło konta uprzywilejowanego.

Wybierz z lewego menu Zarządzanie > Konta.
Kliknij Dodaj.

Uzupełnij parametry konfiguracyjne:

Parametr	Wartość
Ogólne
Nazwa	`admin_ssh_server`
Zablokowane
Typ	`regular`
Nagrywanie sesji	`wszystko`
Notatki
Retencja danych
Nadpisz globalne ustawienia retencji
Usuń dane sesji po upływie	`61 dni`
Uprawnienia
Uprawnieni użytkownicy
Serwer
Serwer	`ssh_server`
Dane uwierzytelniające
Domena
Login	`root`
Zastąp sekret	`hasłem`
Hasło	`password`
Powtórz hasło	`password`
Polityka modyfikatora haseł	`Statyczne, bez ograniczeń`

Kliknij i, aby wygenerować klucz SSH lub i, aby wgrać klucz prywatny serwera.
Kliknij Zapisz.

Dodanie sejfu

Sejf bezpośrednio reguluje dostęp użytkowników do monitorowanych serwerów. Określa dostępną dla użytkowników funkcjonalność protokołów, polityki proaktywnego monitoringu połączeń i szczegóły relacji użytkownik-serwer.

Wybierz z lewego menu Zarządzanie > Sejfy.
Kliknij Dodaj.

Uzupełnij parametry konfiguracyjne:

Parametr	Wartość
Ogólne
Nazwa	`ssh_safe`
Zablokowane
Powiadomienia
Powód logowania
Wymagaj potwierdzenia
Polityki
Note access	`No access`

Funkcjonalność protokołów
RDP
SSH
VNC

Przejdź na zakładkę Użytkownicy.
Kliknij Dodaj użytkownika.
Znajdź użytkownika john_smith i kliknij i.
Kliknij OK.
Przejdź na zakładkę Konta.
Kliknij Dodaj konto.
Znajdź konto admin_ssh_server i kliknij i.
Kliknij OK.
Kliknij w kolumnie Gniazda nasłuchiwania.
Znajdź obiekt ssh_listener i kliknij i.
Kliknij OK.
Kliknij Zapisz.

Nawiązanie połączenia¶

PuTTY - klient SSH dla systemu operacyjnego Microsoft Windows

Pobierz i uruchom PuTTY.
W polu Host Name (or IP address) wprowadź adres 10.0.150.151.
Określ typ połączenia SSH i pozostaw domyślny numer portu.

Kliknij Open.
Wprowadź nazwę użytkownika, login konta na serwerze docelowym oraz adres serwera docelowego.

Wprowadź hasło użytkownika.

Interfejs Wiersza polecenia

Uruchom terminal i wykonaj komendę używając podanego formatu:

ssh -l <fudo-user>#<server-user>#<server-address> <fudo-address>

Przykład:

ssh -l john_smith#root#192.168.0.110 10.0.150.151

Podgląd sesji połączeniowej¶

W przeglądarce internetowej wpisz adres IP, pod którym dostępny jest panel zarządzający Fudo Enterprise.
Wprowadź nazwę użytkownika oraz hasło, aby zalogować się do interfejsu administracyjnego Fudo Enterprise.

Wybierz z lewego menu Zarządzanie > Sesje.
Znajdź na liście sesję użytkownika John Smith i kliknij i.

Tematy pokrewne: