Estoy usando AWS. Necesito conectarme con un cliente SSH local para instancias de EC2 / ECS de Linux. También necesito conectarme con un cliente PostgreSQL local para instancias de RDS.
Hay tutoriales para crear bastiones SSH en AWS:
Conozco a varias personas que hacen esto.
También veo artículos sobre no hacer esto:
Suponiendo que estoy usando los roles de IAM, grupos de seguridad, etc. correctamente, ¿hay buenas razones para considerar seriamente usar un bastión (SSH)? ¿Qué son?
Acabo de terminar de leer la publicación en contra de los anfitriones de bastión. Al principio, el autor dice que hacer eso va en contra de lo que la mayoría considera como mejores prácticas. Intentando hacer corto ese interesante post identificaría los siguientes puntos más importantes:
En mi humilde opinión este último punto es el peor de los casos de uso. La gente a menudo quiere simplemente comprar seguridad sin preocuparse por todas las reglas de seguridad, y se les dice que su bastión es su solución. Lo que no es. Un bastión de bastion es de hecho una buena herramienta para aumentar la seguridad, pero no podrá hacer nada si no se respeta el principio de privilegio mínimo.
En pocas palabras, mi opinión sobre las mejores prácticas de seguridad es:
Luego, si su análisis de amenazas de seguridad muestra que necesita una protección sólida en su entrada de red interna (que es el caso de uso común), entonces es probable que un host de bastión sea útil, siempre que se controle y mantenga constantemente con versiones actualizadas de su software. Si no puede cumplir con esa condición, entonces solo tendrá un falso sentimiento de seguridad. Si encuentra que dice Mi seguridad se basa en el host del bastión y no quiero aburrirme con ninguna otra consideración de seguridad , entonces el host del bastión es probablemente más dañino que útil.
En mi empresa actual usamos un bastión SSH con una configuración que creo que es fácil de configurar, el servidor solo permite conexiones SSH mediante el uso de cert, no se permite el inicio de sesión con contraseña y también hay enlace configuración. Este servidor está detrás de un firewall y no está seguro de si hay límites de conexión al servidor. Creo que personalmente es una buena idea tener un servidor de bastión, probablemente otros usuarios tendrán una opinión diferente.