ProxmoxホストおよびVMでのSSHアクセスのための適切なセキュリティ設計
私は、安全のために、常に妄想的な帽子をかぶらなければならないことを理解しています。
私のシナリオ：
ProxmoxVEに3台のKVM仮想マシンをインストールします
- Apache/Tomcatサーバー
- Mysqlを実行しているサーバー
Mongodを実行しているサーバー
- これらの仮想マシンはすべてdirect-root-loginが無効になり、passphrase-sshキーのみを使用します。それらのそれぞれにCSFファイアウォールエンジンがインストールされ、IPとポートに基づいてトラフィックを許可します。
今質問
ホストサーバーをプロバイダーと同じ場所に配置する場合、リモートログインを設定する方法について3つの選択肢があります。
選択肢1
a。インターネットから直接すべてのマシンへのSSHアクセスを有効にします。ここでのリスクは、passprhrase-protected-ssh-keyであっても、mysql、mongodb、およびAppサーバーを外部に直接公開したくないということです。
選択肢2
a。 Proxmoxホストに対してのみSSHを有効にしてから、ここにsshキーを保存します。これは、Proxmoxへのログインをハッキングする人がすべてのマシンのキーを持っていることを怖がっているように見えます（パスフレーズで保護されている場合でも）
選択肢3
a。別のVM /ルーターにopenvpnを作成し、ファイアウォールルールがそのVLANセグメントのみの仮想マシンへのsshアクセスを許可することを許可します。これにより、SSHキーをラップトップ/コンピューターに保存できます。サーバ。
私は、Linuxサーバーの管理に関する人材の数が非常に限られている新興企業です。私はLinuxでナビゲートでき、システム管理者のものはあまり得意ではありませんが、アクセスの制限とLinuxシステムの全般的な強化に関する過去数週間のLinuxセキュリティについて十分に読んでいます。ルールに従って、絶対に必要なツールだけを使用/インストールしたいだけです。
これが正しいかどうかも知りたい2番目の質問-私の好みは、デフォルトでProxmoxのWebインターフェイスを停止し、必要に応じてこのWebインターフェイスにサービスを提供するApache2を開始/停止することです。 Apacheインターフェースは非常に強力であり、SSHキーなしで各VMに直接コンソールアクセスを提供するためです。
どんなアイデアや一般的なアドバイスやポインタも大歓迎です。
あなたの投稿から私が理解しているのは、SSH攻撃からサーバーを保護したいということです。サーバーを保護する簡単な方法は、proxmoxVEとVM）でFail2banを構成することです。Fail2banはssh攻撃を防ぎ、最大の間違ったパスワード試行でIPをブロックします。試してみてください。 Fail2Banを使用します。