SSHとVPNを組み合わせて使用​​する理由

私の雇用主は、最初にVPNにログオンすることを要求し、それからサーバーにSSHで接続できます。しかし、SSHのセキュリティを考えると、VPNが過剰なのでしょうか？

すでにSSHを使用している場合のセキュリティの観点からのVPNの使用とは何ですか？

現在の設定の背後にある理由は、おそらく次の3つの理由の何らかの組み合わせです。

VPNは、会社のネットワーク外のセキュリティソリューションです（下記の＃1を参照）。ただし、SSHは会社のネットワーク外の2番目のセキュリティレイヤーかもしれませんが、その主な目的は会社のネットワーク内のトラフィックを保護することです（以下の＃2を参照）。VPNは、SSHに接続しようとしているデバイスが企業ネットワークのプライベートアドレスを使用している場合にも必要です（以下の＃3を参照）。

1. VPNは、データをプッシュする会社のネットワークへのトンネルを作成します。したがって、あなたとあなたの会社のネットワークの間のトラフィックを見ている人は、あなたが送信しているものを実際に見ることができません。彼らが見るのはトンネルだけです。これにより、企業ネットワークの外部にいる人が便利な方法でトラフィックを傍受するのを防ぎます。

2. SSHは、ネットワーク上のデバイスに接続する暗号化された方法です（Telnetはクリアテキストです）。多くの場合、企業はセキュリティのために企業ネットワーク上でもSSH接続を必要とします。ネットワークデバイスにマルウェアをインストールし、そのデバイスにtelnetで接続すると（VPNトンネルを通過する場合でも、VPNトンネルは通常、企業のネットワークの境界で終了するため）、ユーザー名とパスワードを確認できます。使用しているSSHの場合、できません。

3. 会社が内部ネットワークにプライベートアドレスを使用している場合、接続先のデバイスはインターネット経由でルーティングできない可能性があります。VPNトンネルを介した接続は、オフィスに直接接続しているようなものになるため、企業ネットワークの外部には到達できない企業ネットワークの内部ルーティングを使用します。

SSHは、ブルートフォース攻撃の非常に一般的なターゲットです。SSHサーバーをインターネットに直接接続している場合、数分以内に、あらゆる種類のユーザー名（およびパスワード）でのログイン試行が表示されます。

SSHサーバーを強化することが可能になりました（主要な3つのメカニズムはSSHキーを必要とし、SSHへのルートアクセスを拒否し、可能であれば接続を許可するIPアドレスを制限します）。それでも、SSHサーバーを強化する最良の方法は、インターネット上で利用できないようにすることです。

なぜ重要なのですか？結局のところ、SSHは根本的に安全ですよね？ええ、はい、しかし、それはユーザーが作るのと同じくらい安全です-そしてあなたの雇用者は弱いパスワードと盗まれたSSHキーを心配するかもしれません。

VPNを追加すると、SSHのように個別サーバーレベルではなく、企業レベルで制御される追加の防御層が追加されます。

全体として、私はあなたの雇用主がここでいくつかの良いセキュリティ慣行を実装することを称賛します。もちろん、利便性を犠牲にして（セキュリティは通常、利便性を犠牲にして）。

VPNを使用すると、雇用主のプライベートネットワークに接続し、そのプライベートネットワークのIPアドレスを取得できます。VPNに接続すると、物理的に世界の反対側にいる場合でも、社内のコンピューターの1つを使用しているように見えます。

最も可能性が高いのは、サーバーがインターネットからアクセスできないため（つまり、パブリックIPアドレスを持っていないため）、VPN経由で最初に接続することを雇用者に要求することです。VPNは、サーバーがSSHを介して一般にアクセス可能である場合、一連の攻撃に対して脆弱であるため、別のセキュリティレイヤーを追加します。

SSHは、いくつかの目的で使用される暗号化プロトコルです。VPNトンネル内のトラフィックの暗号化もその1つです。トラフィックはSSHを使用して暗号化されますが、インターネットのようなネットワークを通過するには、有効なIPパケット（トンネル）でラップする必要があります。このトンネルはVPNです。

基本的に、セキュリティのために、雇用主が制御するVPNを介してトラフィックが来ない限り、雇用主は外部ネットワークトラフィックをブロックします。VPNは、トンネルのコンテンツを暗号化する場合としない場合があります。SSHを使用すると、VPNトンネルで伝送されるトラフィックが暗号化されます。

ローカルネットワークにアクセスするには、VPNが必要です。

VPNリンクによって既に暗号化されているため、個々のサーバーへの接続を保護する必要はありません。

ただし、他にどのように接続しますか？SSHは、リモートサーバー用の事実上のコンソールアクセスプロトコルです。安全でないものをインストールして構成すると、追加の管理オーバーヘッドが発生し、ローカルネットワーク内のセキュリティが低下します（問題になる場合も、そうでない場合もあります）。

社内の誰もがすべてのサーバーに完全にアクセスできるわけではないことを忘れないでください。また、ローカルネットワーク内でもキーベースの暗号化を使用できるため、ネットワーク管理者は、自分が何であるかを表面的に知っている人だけが簡単かつ安全に確認できるようになります社内であっても、サーバーに触れることが許可されています。

VPNを介して追加のセキュリティレイヤーを駆動することもできます。デバイス基準チェック、2要素認証など。

典型的な理由は、露出と可能な攻撃ベクトルを可能な限り減らすことです。

SSHとVPNの両方が（独自の目的のために）必要であるという前提から始める場合、両方が外部に面しているということは、攻撃者が環境への2つの潜在的なルートを持っていることを意味します。SSHをローカルのみにすると、サーバーのセキュリティに追加のレイヤーが追加されます。以下のシナリオを検討してください。

1. 外部でSSH + VPN。攻撃者は、SSHを侵害するだけでサーバーを侵害できます。

2. SSH外部。機能的には前のシナリオと同じです。

3. VPN外部（SSH内部）。セキュリティが倍になります。攻撃者は、サーバーに対して何かを行う前に両方を突破する必要があります。

VPNは他の機能にとってはネセカリーであり、外部アクセスに対してより適切に構成されている可能性があり、それは非常に簡単なことであるという事実を考慮してください。

NATが関係しているという単純な答えであり、他の多くの人が述べているように、最終的なターゲットサーバーを世界にさらすことは別の攻撃ポイントを招く危険性があります。大きなキーを使用して大量のデータを大量に転送しない限り、SSHは通常邪魔になりません。ボトルネックはほとんどの場合ネットワークです。（ほぼ！=常に）。

IPv6を使用するのに十分な「幸運」であれば、これはそれほど大きな問題にはなりそうにありませんが、IPv4と使用可能なアドレススペースが限られているため、NATは（IMO）最終的にこの「ポリシー」の背後にあるものだと思います「偶発的」または「意図的な」セキュリティ。

私の現在の理解から、SSH-それは単にクライアントユーザーがサーバーのユーザーIDにアクセスするための正しい資格情報を持っていることを確認するためにtcpキー交換を使用するため、ISPまたは侵害されたルーターができる中間者攻撃の影響を受けやすいハンドシェイク要求をインターセプトし、認証を送信するものとして機能し、実際には接続をハイジャックします。これにより、コマンドをストリームに注入し、最初の本物のクライアントに到達する前に出力をフィルターで除外し、サーバーsshシェルへの任意のコマンドの中間注入で男を隠すことができます。

ただし、VPNトンネルにより、sshではできないことが許可されます。追加の事前に合意された対称暗号化キー。これは、SSL暗号化レイヤーを制御するためにトラフィックが本物のクライアントに代わってインターセプトおよび転送されると、VPN暗号化キーを渡すことができないため、2つのマシン間のトラフィックが中間攻撃の影響を受けないことを意味しますサードパーティは、ssh tcp ssl接続の中間者転送を制御できるのと同じ方法でvpnキーをスプーフィングする能力を持たないためです。

そのため、sshは、クライアントがサーバーに接続するために通過する必要があるISPまたはセキュリティが侵害されたルーターの中間者を阻止するのに十分ではありません。