Jump-хост: админ-доступ к серверам только через одну машину
Соберите jump-хост: одну машину, через которую администраторы заходят на серверы. Прямой SSH и RDP с ноутбука бухгалтера и из кафе закрываете. Сеть, в которой эта машина живёт, — отдельная статья: сегмент администрирования. Как устроен сам sshd — sshd_config. Второй фактор на входе на прыжок: MFA для SSH.
Статья опирается на логику направления «Управление доступом» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 6 требует отдельной административной учётки и контроля удалённого входа: cisecurity.org/controls. Это не российский закон. Перед сменой sshd держите консоль гипервизора или вторую сессию.
Что должен уметь и чего не должен
| Да | Нет |
|---|---|
| SSH (и при необходимости WinRM-прокси) только на перечень серверов | Почта, браузер, мессенджер, «посмотреть YouTube» |
| Вход людей по именным учёткам с MFA | Общий логин admin и ключ в образе |
| Журнал сессий, агент сбора логов | Хранение секретов серверов в домашнем каталоге «на память» |
Удалённым сотрудникам сначала VPN или WireGuard до сегмента управления, потом jump, потом сервер. Сам туннель — WireGuard, не замена прыжка: туннель без jump снова открывает SSH всем, у кого ключ.
На целевом сервере слушайте SSH только с адреса прыжка 192.0.2.10 (документационный пример). Сначала проверка синтаксиса:
sshd -t
sshd -T | grep -E '^(listenaddress|allowusers|passwordauthentication) 'Ожидаемо: нет 0.0.0.0 без нужды, пароль выключен. Фрагмент для /etc/ssh/sshd_config.d/20-jump-only.conf на сервере, не на самом прыжке:
ListenAddress 198.51.100.20
AllowUsers admin1 admin2Плюс правило межсетевого экрана: 22/tcp только от 192.0.2.10. Итог смотрите sshd -T, не файл глазами: первое значение побеждает. На прыжке наоборот: вход с админских станций сегмента, исходящий SSH на серверы.
Риск: правило «только с прыжка» примените, не проверив, что вы сами на hop. Откат: консоль, nft -c и отложенный возврат прежних правил, как в статье про nftables.
Проверка пути
- С пользовательской станции (не из сегмента управления) TCP 22 целевого сервера не отвечает.
- С прыжка вход по ключу и MFA проходит, в
auth.log— ваша учётка и адрес прыжка. - С прыжка нельзя открыть произвольный интернет-сайт политикой или отсутствием браузера.
- Список людей на прыжке совпадает с ролью администратора системы: матрица роль—право.
Сканирование портов — только своей сети.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Админы по-прежнему заходят с ноутбука на 22 | На сервере слушает 0.0.0.0 и firewall дырявый. Закройте и sshd -T |
| Прыжок = обычная рабочая станция | Там почта. Вынесите на отдельный узел без профиля человека |
| Один ключ на всех | Неименной вход. Именные учётки и заявка |
| VPN сразу на серверы | Прыжка нет. Сузьте VPN до сегмента управления |
Где это в модели зрелости
Материал относится к направлению «Управление доступом» (хаб: доступ, карта: карта зрелости). Сегмент без прыжка оставляет много админских ноутбуков с прямой 22. Прыжок без сегмента стоит в той же VLAN, что принтеры. ZTNA как продукт не разбираем.
Как проверить
- Есть один узел-прыжок в сегменте управления, без браузера как рабочего инструмента.
- На выборке серверов
sshd -Tи firewall допускают 22 только с адреса прыжка. - С пользовательской сети 22 не отвечает.
- Вход на прыжок — именной, с MFA.
- Это не повтор статьи про зоны сети и не полный эталон sshd.
Источники
- CIS Control 6: cisecurity.org/controls.
