SSH와 VPN을 함께 사용하는 이유는 무엇입니까?

고용주는 먼저 VPN에 로그온해야하며 서버에 SSH로 연결할 수 있습니다. 그러나 SSH의 보안을 고려할 때 VPN이 과잉 상태입니까?

이미 SSH를 사용하고 있다면 보안 측면에서 VPN을 사용하는 것은 무엇입니까 ?

현재 설정의 이유는 아마도 다음 세 가지 이유의 조합 일 것입니다.

VPN은 회사 네트워크 외부의 보안 솔루션입니다 (아래 # 1 참조) . 그러나 SSH는 회사 네트워크 외부의 두 번째 보안 계층 ​​일 수 있지만 주요 목적은 회사 네트워크 내의 트래픽을 보호하는 것입니다 (아래 # 2 참조) . SSH를 연결하려는 장치가 회사 네트워크의 개인 주소를 사용하는 경우에도 VPN이 필요합니다 (아래 # 3 참조) .

1. VPN은 데이터를 통해 회사 네트워크에 터널을 만듭니다. 따라서 귀하와 회사 네트워크 간의 트래픽을 보는 사람은 실제로 전송중인 내용을 볼 수 없습니다. 그들이 보는 것은 터널뿐입니다. 이렇게하면 회사 네트워크 외부에있는 사람들이 유용한 방식으로 트래픽을 가로 채지 못하게됩니다.

2. SSH는 일반 텍스트 인 Telnet과 달리 네트워크의 장치에 연결하는 암호화 된 방법입니다. 회사는 종종 보안을 위해 회사 네트워크에서도 SSH 연결이 필요합니다. 네트워크 장치에 맬웨어를 설치 하고 해당 장치에 텔넷 을 연결 한 경우 (VPN 터널을 통해 오는 경우에도 VPN 터널이 회사 네트워크의 경계에서 종료되므로) 사용자 이름과 암호를 볼 수 있습니다. 사용중인 SSH라면 사용할 수 없습니다.

3. 회사에서 내부 네트워크에 개인 주소를 사용하는 경우 인터넷을 통해 연결중인 장치를 라우팅하지 못할 수 있습니다. VPN 터널을 통한 연결은 사무실에서 직접 연결 한 것과 같으므로 회사 네트워크 외부로는 접근 할 수없는 회사 네트워크의 내부 라우팅을 사용합니다.

SSH는 무차별 대입 시도에 매우 인기있는 대상입니다. 인터넷에 직접 SSH 서버가있는 경우 몇 분 안에 모든 종류의 사용자 이름 (및 암호)을 사용하여 로그인 시도가 발생합니다 (소규모의 소규모 서버에서도 하루에 수천 번).

이제 SSH 서버를 강화할 수 있습니다 (주요 세 가지 메커니즘은 SSH에 대한 루트 액세스를 거부하고 가능하면 연결이 허용되는 IP 주소를 제한하는 SSH 키가 필요함). 여전히 SSH 서버를 강화하는 가장 좋은 방법은 인터넷에서 전혀 사용할 수없는 것입니다.

왜 중요한가요? 결국 SSH는 기본적으로 안전합니다. 그렇습니다. 그러나 사용자가 만드는 것만 큼 안전합니다. 고용주는 약한 암호와 SSH 키를 도난 당할 우려가 있습니다.

VPN을 추가하면 SSH처럼 개별 서버 수준이 아닌 회사 수준에서 제어되는 추가 방어 계층이 추가됩니다.

대체로 좋은 보안 관행을 구현하는 데 고용주를 추천합니다. 물론 편의를 희생하면서 (보안은 일반적으로 편의를 희생하여 발생합니다).

VPN을 사용하면 고용주의 개인 네트워크에 연결하고 해당 개인 네트워크의 IP 주소를 얻을 수 있습니다. VPN에 연결되면 실제로 세계의 다른쪽에 있더라도 회사 내부의 컴퓨터 중 하나를 사용하는 것과 같습니다.

인터넷에서 서버에 액세스 할 수 없기 때문에 (즉, 공용 IP 주소가 아니므로) 고용주는 VPN을 통해 먼저 연결해야합니다. VPN은 서버가 SSH를 통해 공개적으로 액세스 할 수있는 것처럼 다양한 공격에 취약한 것처럼 다른 보안 계층을 추가합니다.

SSH는 여러 가지 용도로 사용되는 암호화 프로토콜입니다. VPN 터널에서 트래픽을 암호화하는 것이 그 중 하나입니다. 트래픽은 SSH를 사용하여 암호화되지만 인터넷과 같은 네트워크를 통과하려면 유효한 IP 패킷 (터널)으로 래핑되어야합니다. 이 터널은 VPN입니다.

기본적으로, 고용주는 해당 트래픽이 고용주가 제어하는 ​​VPN을 통과하지 않는 한 보안을 위해 외부 네트워크 트래픽을 차단합니다. VPN은 터널의 내용을 암호화하거나 암호화하지 않을 수 있습니다. SSH를 사용하면 VPN 터널에서 전달되는 트래픽을 암호화합니다.

로컬 네트워크에 접속하려면 VPN이 필요합니다.

그러면 VPN 링크로 이미 암호화되어 있으므로 개별 서버에 대한 연결을 보호 할 필요 가 없습니다 .

그러나 다른 방법으로는 어떻게 연결 하시겠습니까? SSH는 사실상 원격 서버를위한 콘솔 액세스 프로토콜입니다. 안전하지 않은 것을 설치하고 구성하면 추가 관리 오버 헤드가 발생 하고 로컬 네트워크 내 에서 보안이 저하 될 수 있습니다 (문제가 될 수도 있고 아닐 수도 있음).

회사 내부의 모든 사람이 모든 서버에 완전히 액세스 할 수있는 것은 아니며, 로컬 네트워크 내에서도 키 기반 암호화를 사용하면 네트워크 관리자가 자신이 무엇을인지 할 수있는 사람 만 쉽고 안전하게 확인할 수 있습니다. 회사 내에서도 서버를 만질 수 있습니다.

VPN을 통해 추가 보안 계층을 구동 할 수도 있습니다. 장치 기준 확인, 2 단계 인증 등

일반적인 이유는 노출과 가능한 공격 경로를 최대한 줄이려는 것입니다.

SSH와 VPN이 모두 자체 목적으로 필요하다는 전제에서 시작한다면 외부를 향한 공격이 있다는 것은 공격자가 사용자 환경에 대한 두 가지 잠재적 경로를 가지고 있음을 의미합니다. SSH를 로컬 전용으로 만들면 서버 보안에 추가 계층이 추가됩니다. 다음 시나리오를 고려하십시오.

1. 외부에서 SSH + VPN. 공격자는 서버를 손상시키기 위해 SSH 만 손상하면됩니다.

2. SSH 외부. 이전 시나리오와 기능상 동일합니다.

3. VPN 외부 (SSH 내부). 보안을 두 배로 향상시킵니다. 공격자는 서버에 대한 작업을 수행하기 전에 두 가지를 모두 통과해야합니다.

VPN이 다른 기능에는 필요하고 외부 액세스를 위해 더 잘 구성 될 수 있다는 사실과 함께 고려해보십시오.

나는 단순히 NAT가 관련되어 있고 (다른 많은 사람들이 언급했듯이) 궁극적 인 대상 서버를 세계에 노출시키는 것이 또 다른 공격 지점을 불러 일으킬 위험이 있습니다. 큰 키를 사용하여 대량의 대량 데이터 전송을 수행하지 않는 한 SSH는 일반적으로 방해가되지 않습니다. 병목 현상은 거의 항상 네트워크입니다. (거의! = 항상).

IPv6를 보유 할만큼 운이 좋으면 IPv4만큼 문제가되지는 않지만 IPv4와 제한된 주소 공간에서 NAT는 (IMO) 궁극적으로 다른 어떤 것보다이 '정책'뒤에 있다고 생각합니다 '사고'또는 '목적'보안.

내 현재 이해에서 SSH는 단순히 tcp 키 교환을 사용하여 클라이언트 사용자가 서버의 사용자 ID에 액세스하기위한 올바른 자격 증명을 가지고 있는지 확인하기 때문에 ISP 또는 라우터가 손상 될 수있는 중간 공격에 노출 될 수 있습니다 핸드 셰이크 요청을 차단하고 인증을 전송하는 인증 역할을합니다. 이를 통해 명령을 스트림에 주입 한 다음 초기 인증 클라이언트에 도달하기 전에 출력을 필터링하여 임의의 명령을 서버 ssh 쉘에 중간 주입하는 사람을 숨길 수 있습니다.

그러나 VPN 터널에서는 ssh가 허용하지 않는 것을 허용합니다. 사전 동의 된 추가 대칭 암호화 키. 이는 SSL 암호화 계층을 제어하기 위해 인증 클라이언트를 대신하여 트래픽을 가로 채서 전달하면 VPN 암호화 키를 통과 할 수 없기 때문에 두 시스템 간의 트래픽이 중간 공격에 노출 될 수 없음을 의미합니다. 타사가 ssh tcp ssl 연결의 중간 전달을 제어 할 수있는 것과 같은 방식으로 VPN 키를 스푸핑 할 수 없기 때문에 요구 사항이 필요합니다.

따라서 ssh는 ISP에 접속하거나 서버에 연결하기 위해 클라이언트가 통과해야하는 손상된 라우터로부터 중간에 사람을 중지시키기에 충분하지 않습니다.