Ako zabezpečiť prístup k serveru v súkromnej podsieti z domu?

Prístup k serveru v súkromnej podsieti dátového centra z domácej siete je možné realizovať nasledujúcimi spôsobmi:

1. VPN (Virtual Private Network): Vytvorenie zabezpečeného tunelového spojenia medzi domácim počítačom alebo routerom a infraštruktúrou dátového centra. To môže byť:

   • SSL/TLS VPN: Často používané na prístup jednotlivých používateľov cez webový prehliadač alebo VPN klienta.
   • IPsec VPN: Vhodné pre site-to-site spojenia, ak domácí router podporuje túto technológiu.
   • OpenVPN: Flexibilné a multiplatformové riešenie, ktoré vyžaduje inštaláciu klienta na domácom zariadení a konfiguráciu servera v dátovom centre.

2. Bastion host (Jump Host): Umiestnenie samostatného servera v verejnej podsieti dátového centra (alebo s dostupnou externou IP adresou), ku ktorému sa pristupuje cez SSH. Následne z tohto bastion hostu sa pripojuje k serveru v súkromnej podsieti.

3. SSH Port Forwarding (Tunelovanie): Použitie SSH na vytvorenie zabezpečeného tunela, ktorý preposiela prevádzku z lokálneho portu na domácom počítači na vzdialený port na serveri v súkromnej podsieti cez prostredného hostiteľa.

   • Lokálne preposielanie (Local Forwarding): Port na domácom počítači je preposlaný na port na vzdialenom serveri cez SSH spojenie.

     # ssh -L <lokálny_port>:<adresa_servera_v_privatke>:<vzdialený_port> <používateľ>@<bastion_host_alebo_dostupný_server>
     ssh -L 8080:192.168.1.100:80 bastion@example.com
     # Po nadviazaní spojenia je možné pristupovať na http://localhost:8080 na domácom počítači, a prevádzka pôjde na 192.168.1.100:80
     

   • Vzdialené preposielanie (Remote Forwarding): Port na vzdialenom serveri (ku ktorému sa pripájame cez SSH) je preposlaný na port na domácom počítači. Často sa používa na vystavenie portov z privátnej siete vonku.

4. Proxy server: Nastavenie proxy servera (napríklad SOCKS-proxy cez SSH) na bastion hoste alebo inom serveri v dátovom centre. Následne nakonfigurujte aplikácie na domácom počítači, aby používali tento proxy na prístup k zdrojom v súkromnej sieti.

   # ssh -D <lokálny_port> <používateľ>@<bastion_host_alebo_dostupný_server>
   ssh -D 1080 bastion@example.com
   # Následne nakonfigurujte prehliadač alebo iné aplikácie, aby používali socks5 proxy na localhost:1080
   

5. Cloudové služby: Ak je infraštruktúra umiestnená u cloudového poskytovateľa, využite ich nativné nástroje na zabezpečenie prístupu k privátnym sieťam (napríklad AWS VPC Peering, Google Cloud VPN, Azure VNet Peering s VPN Gateway).

Výber metódy závisí od požiadaviek na bezpečnosť, pohodlie použitia, počtu používateľov a dostupnej infraštruktúry. VPN a bastion host sú najrozšírenejšie a najbezpečnejšie prístupy. SSH Port Forwarding a SOCKS-proxy sú vhodné pre jednorazový prístup alebo prístup jednotlivých aplikácií.

Použite VPN (Virtuálna súkromná sieť). Vytvorte tunel medzi vaším domácim počítačom a VPN serverom v podniku. VPN server môže byť umiestnený v verejnej podsieti alebo DMZ a mať prístup k súkromnej podsieti.

Alternatívne možnosti:

• SSH tunelovanie (Port Forwarding): Presmerovanie špecifických portov cez SSH spojenie s externým serverom. Menej škálovateľné a menej pohodlné pre prístup k viacerým službám.
• Jump server (Bastion host): Server v verejnej podsieti, cez ktorý sa vykonáva SSH prístup k serverom v súkromnej podsieti. Vyžaduje dva kroky autentifikácie.
• Proxy server: Konfigurácia proxy servera v verejnej podsieti pre prístup k webovým službám v súkromnej podsieti. Obmedzené na protokoly podporované proxy.

Najbezpečnejší a najflexibilnejší prístup pre všeobecný prístup je VPN.

Príklad konfigurácie OpenVPN:

# Inštalácia OpenVPN servera
sudo apt-get update
sudo apt-get install openvpn easy-rsa

# Inicializácia PKI
openvpn --genkey --secret static.key # Pre statický kľúč
# Alebo s použitím easy-rsa pre infraštruktúru verejných kľúčov (PKI)
./easy-rsa init-pki
./easy-rsa build-ca nopass
./easy-rsa build-server-full server nopass
./easy-rsa build-client-full client1 nopass
./easy-rsa gen-dh

# Príklad konfigurácie servera (server.conf)
port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dns"
push "dhcp-option DNS 8.8.8.8"
keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log
verb 3

# Príklad konfigurácie klienta (client.ovpn)
client
dev tun
proto udp
remote <public_server_ip> 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client1.crt
key client1.key
remote-cert-tls server
comp-lzo
verb 3