Mengapa menggunakan SSH dan VPN dalam kombinasi?

Majikan saya mengharuskan saya untuk masuk ke VPN terlebih dahulu, dan baru setelah itu saya dapat SSH masuk ke server. Tetapi, mengingat keamanan SSH, apakah VPN berlebihan?

Apa gunanya VPN dalam hal keamanan jika saya sudah menggunakan SSH ?

Alasan di balik pengaturan Anda saat ini mungkin merupakan kombinasi dari tiga alasan berikut.

VPN adalah solusi keamanan untuk di luar jaringan perusahaan Anda (Lihat # 1 di bawah) . Namun SSH, mungkin merupakan lapisan keamanan kedua di luar jaringan perusahaan Anda ... tetapi tujuan utamanya adalah untuk mengamankan lalu lintas di dalam jaringan perusahaan Anda (Lihat # 2 Di Bawah) . VPN juga diperlukan jika perangkat yang Anda coba masuki SSH menggunakan alamat pribadi di jaringan perusahaan Anda (Lihat # 3 di bawah) .

1. VPN menciptakan terowongan ke jaringan perusahaan tempat Anda mendorong data. Jadi tidak ada yang melihat lalu lintas antara Anda dan jaringan perusahaan Anda yang benar-benar dapat melihat apa yang Anda kirim. Yang mereka lihat hanyalah terowongan. Ini mencegah orang yang berada di luar jaringan perusahaan untuk mencegat lalu lintas Anda dengan cara yang bermanfaat.

2. SSH adalah cara terenkripsi menghubungkan ke perangkat di jaringan Anda (bukan Telnet, yang merupakan teks yang jelas). Perusahaan seringkali memerlukan koneksi SSH bahkan pada jaringan perusahaan demi keamanan. Jika saya telah menginstal malware pada perangkat jaringan dan Anda melakukan telnet ke perangkat itu (bahkan jika Anda datang melalui terowongan VPN - karena terowongan VPN biasanya berakhir di perimeter jaringan perusahaan), saya dapat melihat nama pengguna dan kata sandi Anda. Jika SSH yang Anda gunakan, maka saya tidak bisa.

3. Jika perusahaan Anda menggunakan pengalamatan pribadi untuk jaringan internal, maka perangkat yang Anda sambungkan mungkin tidak dapat dialihkan melalui internet. Menghubungkan melalui terowongan VPN akan seperti Anda terhubung langsung di kantor, oleh karena itu Anda akan menggunakan perutean internal jaringan perusahaan yang tidak akan dapat dijangkau di luar jaringan perusahaan.

SSH adalah target yang sangat populer untuk upaya kekerasan. Jika Anda memiliki server SSH langsung di Internet, dalam beberapa menit, Anda akan melihat upaya masuk dengan semua jenis nama pengguna (dan kata sandi) - seringkali ribuan per hari bahkan pada server kecil yang tidak signifikan.

Sekarang dimungkinkan untuk mengeraskan server SSH (tiga mekanisme utama memerlukan kunci SSH, menolak akses root ke SSH, dan jika mungkin membatasi alamat IP yang bahkan diizinkan untuk terhubung). Namun, cara terbaik untuk mengeraskan server SSH adalah tidak memilikinya sama sekali di Internet.

Mengapa itu penting? Bagaimanapun, SSH pada dasarnya aman, kan? Ya, tapi itu hanya seaman pengguna membuatnya - dan majikan Anda mungkin khawatir tentang kata sandi yang lemah, dan kunci SSH dicuri.

Menambahkan VPN menambahkan lapisan pertahanan tambahan yang dikendalikan di tingkat perusahaan, alih-alih di tingkat server individu seperti SSH.

Secara keseluruhan, saya akan memuji atasan Anda untuk menerapkan beberapa praktik keamanan yang baik di sini. Dengan mengorbankan kenyamanan, tentu saja (keamanan biasanya datang dengan mengorbankan kenyamanan).

VPN memungkinkan Anda untuk terhubung ke jaringan pribadi perusahaan Anda dan mendapatkan alamat IP dari jaringan pribadi itu. Setelah Anda terhubung ke VPN, rasanya seperti Anda menggunakan salah satu komputer di dalam perusahaan - bahkan jika Anda secara fisik berada di sisi lain dunia.

Kemungkinan besar, majikan Anda mengharuskan Anda terhubung melalui VPN terlebih dahulu karena server tidak dapat diakses dari Internet (yaitu mereka tidak memiliki alamat IP publik), yang merupakan ide bagus. VPN menambahkan lapisan keamanan lain, seolah-olah server dapat diakses publik melalui SSH mereka akan rentan terhadap berbagai serangan.

SSH adalah protokol enkripsi yang digunakan untuk beberapa hal. Mengenkripsi lalu lintas di terowongan VPN adalah salah satunya. Lalu lintas Anda dienkripsi menggunakan SSH, tetapi kemudian harus dibungkus dengan paket IP (terowongan) yang valid untuk melintasi jaringan seperti Internet. Terowongan ini adalah VPN.

Pada dasarnya, majikan Anda memblokir lalu lintas jaringan di luar, untuk keamanan, kecuali jika lalu lintas itu datang melalui VPN yang dikontrol majikan. VPN dapat atau tidak bisa mengenkripsi konten terowongan. Menggunakan SSH akan mengenkripsi lalu lintas yang dilakukan di terowongan VPN.

Anda memerlukan VPN untuk masuk ke jaringan lokal.

Maka Anda tidak perlu mengamankan koneksi Anda ke server individual, karena itu akan dienkripsi oleh tautan VPN.

Namun, bagaimana lagi Anda akan terhubung dengan mereka? SSH adalah protokol akses konsol de facto untuk server jarak jauh; menginstal dan mengkonfigurasi yang tidak aman akan menjadi overhead manajemen tambahan, dan mengurangi keamanan dalam jaringan lokal (yang mungkin atau mungkin tidak menjadi masalah).

Jangan lupa, tidak semua orang bahkan di dalam perusahaan akan memiliki akses total ke setiap server, dan kemampuan untuk menggunakan enkripsi berbasis kunci bahkan di dalam jaringan lokal memungkinkan administrator jaringan Anda dengan mudah dan aman memastikan bahwa hanya orang yang seolah-olah tahu apa yang mereka miliki. lakukan, bahkan di dalam perusahaan, diizinkan untuk menyentuh server.

Anda dapat mendorong lapisan keamanan tambahan melalui VPN juga. Seperti pemeriksaan kriteria perangkat, otentikasi 2 faktor, dll.

Alasan umum adalah bahwa Anda ingin mengurangi eksposur dan kemungkinan vektor serangan sejauh mungkin.

Jika Anda mulai dari premis bahwa SSH dan VPN diperlukan (untuk tujuan mereka sendiri), maka keduanya memiliki sarana eksternal sehingga penyerang memiliki dua rute potensial ke lingkungan Anda. Jika Anda membuat SSH hanya-lokal, ia menambahkan lapisan tambahan ke keamanan server. Pertimbangkan skenario berikut:

1. SSH + VPN secara eksternal. Penyerang hanya perlu kompromi SSH untuk kompromi server.

2. SSH eksternal. Secara fungsional sama dengan skenario sebelumnya.

3. VPN eksternal (SSH internal). Menggandakan keamanan. Penyerang harus menerobos keduanya sebelum mereka dapat melakukan apa saja ke server.

Pertimbangkan bahwa di samping fakta bahwa VPN akan diperlukan untuk fungsi-fungsi lain, dan mungkin lebih baik dikonfigurasi untuk akses eksternal dan itu adalah no-brainer.

Saya akan membahayakan bahwa jawabannya hanya karena NAT terlibat dan (seperti yang telah dinyatakan oleh banyak orang lainnya) yang mengekspos server target pamungkas ke dunia mengundang titik serangan lain. Kecuali Anda melakukan transfer data massal besar dengan kunci besar, SSH umumnya tidak menghalangi. Kemacetan akan hampir selalu menjadi jaringan. (Hampir! = Selalu).

Jika Anda 'cukup beruntung' untuk memiliki IPv6, ini tidak akan menjadi masalah besar, tetapi dengan IPv4 dan ruang alamat terbatas yang tersedia, NAT (IMO) pada akhirnya adalah apa yang saya pikir berada di balik 'kebijakan' ini lebih daripada yang lain keamanan 'tidak disengaja' atau 'disengaja'.

Dari pemahaman saya saat ini, SSH - karena hanya menggunakan pertukaran kunci tcp untuk memverifikasi bahwa pengguna klien memiliki kredensial yang benar untuk mengakses ID pengguna di server, rentan terhadap serangan tengah di mana ISP, atau router yang dikompromikan dapat mencegat permintaan jabat tangan dan bertindak sebagai yang mengirim otentikasi, yang pada dasarnya membajak koneksi. Ini memungkinkan perintah untuk disuntikkan ke dalam aliran dan kemudian output disaring sebelum mencapai klien asli awal, sehingga menyembunyikan orang di tengah injeksi perintah sewenang-wenang ke server ssh shell.

Namun dengan terowongan VPN memungkinkan sesuatu yang ssh tidak. Kunci enkripsi simetrik tambahan yang disetujui sebelumnya. Ini berarti bahwa lalu lintas antara dua mesin tidak rentan terhadap seorang pria dalam serangan tengah karena lalu lintas, jika dicegat dan diteruskan atas nama klien asli untuk mengendalikan lapisan enkripsi ssl tidak akan dapat melewati kunci enkripsi vpn persyaratan karena pihak ketiga tidak akan memiliki kemampuan untuk memalsukan kunci vpn dengan cara yang sama bahwa mereka akan dapat mengontrol penerusan perantara koneksi ssh tcp ssl.

Jadi, ssh tidak cukup baik untuk menghentikan orang di tengah-tengah dari ISP atau router yang dikompromikan yang harus dilalui oleh klien untuk terhubung ke server.