只需 3 步驟即可使用 Bastion 主機保護您的電腦網絡

您的本機網路上是否有需要外部存取的電腦？使用堡壘主機作為網路的「看門人」可能是一個很好的解決方案。

什麼是堡壘主機？

堡壘字面意思是堅固的地方。用電腦術語來說，它是網路上的一台機器，可以充當傳入和傳出連接的看門人。

維基百科的定義：堡壘主機是網路上的專用計算機，經過專門設計和配置以抵禦攻擊。堡壘伺服器通常僅託管單一應用程序，例如代理伺服器，刪除或限制其他服務以最大程度地減少對電腦的威脅。堡壘主機之所以採用硬連線，是因為其特殊的位置和用途，通常位於防火牆之外或DMZ（內部網路與Internet之間的中立網路區域）內，並且經常涉及來自不可信網路或互聯網的訪問。電腦。

您可以將堡壘主機設定為唯一接受 Internet 連線的電腦。然後，依序將網路上的所有其他電腦設定為僅接收來自該堡壘主機的傳入連線。

這種設定的好處是安全。堡壘主機可以提供非常嚴格的安全性。它將成為抵禦任何入侵者的第一道安全防禦線，並確保其餘電腦受到保護。此外，它還使網路設定變得更加容易。您無需在路由器上轉送端口，只需將連接埠轉送到 Bation 主機，從那裡，您可以分支到需要存取專用網路的其他電腦。這個問題的細節將在下一節中提及。

網路設定圖

這是典型網路設定的範例。如果您需要從外部存取家庭網絡，可以透過互聯網進行。路由器會將該連線轉送到堡壘主機。連接到堡壘主機後，您可以存取網路上的任何其他電腦。同樣，除了堡壘主機之外，也無法從 Internet 直接存取其他電腦。

1.動態網域名稱系統（Dynamic DNS ）

想必很多人都想知道如何透過網路存取家裡的路由器。大多數網路服務供應商 (ISP) 都會為使用者指派一個定期變更的臨時 IP 位址。網際網路服務供應商經常對靜態 IP 位址收取額外費用。好消息是，當今的路由器通常在設定中具有動態域名系統。

動態網域名稱系統會定期以新的 IP 位址更新主機名，確保使用者始終可以存取其家庭網路。有許多提供者提供上述服務，例如 Noip.com，甚至還有免費套餐。請注意，免費套餐需要每 30 天確認一次伺服器名稱。

登入後，只需建立一個伺服器名稱，該名稱必須是唯一的。如果您擁有 Netgear 路由器，他們會提供免費的動態DNS服務，並且不需要每月確認。

現在登入您的路由器並尋找動態 DNS 設定。不同的路由器會有不同的設置，具體設定請參考路由器使用手冊。通常，您需要在以下四個設定中輸入資訊：

1. 供應商
2. 網域名稱（剛剛建立的伺服器名稱）
3. 使用者名稱（用於建立動態 DNS 的電子郵件地址）
4. 密碼

如果您的路由器沒有動態 DNS 設定，No-IP 提供了可以安裝在您的電腦上的軟體。請注意，電腦必須始終在線才能更新動態 DNS。

2. 轉送或重定向端口

今天的路由器需要根據傳入連接的連接埠號碼知道將傳入連接轉發到哪裡。使用者不應使用預設的SSH連接埠22，因為駭客擁有可以檢查常用連接埠並可以輕鬆存取您的家庭網路的工具。一旦他們意識到路由器正在預設連接埠上接受連接，他們將開始使用通用使用者名稱和密碼發送連接請求。

儘管選擇隨機連接埠並不能完全防止此問題，但它可以減少到達路由器的請求數量。如果您的路由器只能轉送同一端口，則應將堡壘主機設定為使用 SSH 金鑰身份驗證，而不是使用者名稱和密碼。

安裝路由器如下圖：

1. 服務名稱可以是 SSH
2. 協定（應設定為 TCP）
3. 公共端口（應該是高端口，不是22，使用52739）
4. 私有IP位址（堡壘主機的IP）
5. 私有連接埠（預設 SSH 連接埠為 22）

堡壘

堡壘唯一需要的是 SSH。如果在安裝過程中未選擇 SSH，只需鍵入：

sudo apt 安裝 OpenSSH 用戶端

sudo apt install OpenSSH 伺服器

安裝 SSH 後，請確保將 SSH 伺服器設定為使用金鑰而不是密碼進行身份驗證，堡壘主機的 IP 位址與上面轉送規則中設定的 IP 位址相同。

您可以進行快速測試以確保一切正常。要模擬家庭網路以外的情況，您可以使用行動數據將智慧型裝置用作熱點。打開終端機視窗並輸入，將其替換為堡壘主機上帳戶的使用者名稱以及上一步中設定的位址：

ssh -p 52739 @

如果一切設定正確，您將看到堡壘主機終端機視窗。

3.創建隧道

您透過 SSH 建立隧道。例如，如果您想從 Internet 存取家庭網路上的 SMB 共用，請連接到堡壘主機並透過執行下列命令開啟至 SMB 共用的隧道：

ssh -L 15445::445 -p 52739 @

例如，上面的命令將起作用

ssh-L 15445:10.1.2.250:445-p 52739 yusuf@makeuseof.ddns.net

上面的命令透過路由器外部 SSH 連接埠 52739 連接到伺服器上的帳戶。發送到連接埠 15445（任意連接埠）的任何流量都將透過隧道發送，然後轉送到 IP 位址 10.1.2.250 和 SMB 連接埠 445 的電腦。

您也可以鍵入以下內容來匿名化整個命令：

別名 sss='ssh -L 15445:10.1.2.250:445 -p 52739 yusuf@makeuseof.ddns.net'

連線後，您可以使用以下位址存取 SMB 共用：

smb://本地主機:15445

這意味著您將能夠從 Internet 瀏覽本地共享，就像在本地網路上一樣。

祝您成功！

看更多：

• 使用說明和Wifi網路安全
• 網路安全和需要了解的知識
• 有關如何保護 WiFi 網路免受 KRACK 侵害的說明