Сегмент администрирования: откуда можно управлять серверами

Выделите сегмент администрирования: отдельную подсеть, из которой разрешены SSH, WinRM, консоли гипервизора и веб-панели управления. Зона «Управление» в общей матрице потоков уже названа — здесь доведите её до адресов и правил. Общие зоны и переход: сегментация сети. Кто именно прыгает на серверы из этой подсети: jump-хост.

Статья опирается на логику направления «Сетевая безопасность» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 12 требует управлять сетевой инфраструктурой и ограничивать удалённое администрирование: cisecurity.org/controls. Это не российский закон. Перед nft — nft -c и вторая сессия или консоль.

Что класть внутрь

Адреса из документации: сегмент управления 192.0.2.0/24, серверы 198.51.100.0/24. Свои замените. Схему с подписью владельца ведите отдельно: схема сети.

Правила, которых хватает на старте

Политика forward — запрет. Разрешены ответы установленных соединений. Из управления на серверы — только порты администрирования. Из пользовательской сети на эти порты — нет. Фрагмент в том же стиле, что общая сегментация, но только про управление:

table inet adminseg {
  chain forward {
    type filter hook forward priority 0; policy drop;
    ct state established,related accept
    ct state invalid drop
    iifname "vlan40" oifname "vlan20" tcp dport { 22, 5985, 5986 } ip saddr 192.0.2.0/24 accept
    iifname "vlan40" oifname "vlan20" tcp dport { 443, 8443 } ip daddr 198.51.100.10 accept
  }
}

sudo nft -c -f /etc/nftables.d/adminseg.nft

Ожидаемо: тишина без ошибки синтаксиса. 443 только на конкретный адрес панели, не «весь vlan20». Подробнее синтаксис: nftables и firewalld. На самих серверах продублируйте ограничение в sshd, иначе второй firewall на хосте однажды снимут.

Риск: отрежете себя. Меняйте правила из консоли или с hop, который уже в 192.0.2.0/24, и ставьте отложенный возврат прежнего набора.

Проверка со своей пользовательской станции: порт 22 сервера не отвечает. Со станции в vlan40 — отвечает. Сканируйте только свою сеть: Nmap.

Диагностика

Где это в модели зрелости

Материал относится к направлению «Сетевая безопасность» (хаб: сеть, карта: карта зрелости). Общая сегментация рисует зоны. Без отдельной подсети управления зона остаётся подписью на слайде. Jump-хост без этой подсети некуда поставить. NGFW и ZTNA не разбираем.

Как проверить

1. Есть подсеть управления, она есть на схеме с датой.
2. nft -c для правил проходит, в бою 22/5985 с пользовательской сети закрыты.
3. Консоли гипервизора и firewall недоступны из пользовательского VLAN.
4. Jump-хост адресом лежит в этой подсети, не в vlan пользователей.
5. Статья не повторяет полную матрицу шести зон.

Источники

• CIS Control 12: cisecurity.org/controls.