Proxmox гипервизорын бұзудан қалай қорғауға болады - Терең талдау

Proxmox — бұл виртуализация үшін ашық бастапқы кодты қуатты және икемді платформа, бірақ ол басқа жүйелер сияқты қауіпсіздік қаупіне ұшырауы мүмкін. Осы мақалада біз Proxmox гипервизорын бұзудан қорғау үшін нақты қадамдар мен стратегияларды қарастырамыз, жүйені және виртуализацияланған жұмыс жүктемелерін қорғауды қамтамасыз ету үшін платформаның мүмкіндіктері мен таралған шабуыл әдістерін ескере отырып талдаймыз.

1. Жүйені жаңарту және патчтар

Қауіпсіздіктің негізгі элементтерінің бірі — жүйенің барлық компоненттерін, оның ішінде Proxmox-ты, операциялық жүйені және ядроны үнемі жаңартып отыру.

Жаңартулар үшін қадамдар:

• Proxmox жүйесін жаңарту: Proxmox-тың соңғы нұсқасын пайдалануға кепілдік беру үшін репозиторийлер мен жүйені үнемі жаңартып отырыңыз:

  bash

  Копировать

  apt update && apt dist-upgrade

  Бұл тек Proxmox пакеттерін ғана емес, оған тәуелді барлық пакеттерді де жаңартады. Серверде соңғы нұсқаның орнатылғанына әрқашан көз жеткізіңіз, себебі бұл қауіпсіздік патчтарын алуға мүмкіндік береді.

• Ядроны жаңарту: Ядроны жаңартып, оның белгілі бір осалдықтардан арылғанына көз жеткізу үшін келесі команданы пайдаланыңыз:

  bash

  Копировать

  apt install --install-recommends linux-image-amd64

  Бұл Debian үшін соңғы ядро жаңартуларын орнатады, ол Proxmox негізінде жұмыс істейді. Ядро орнатылғаннан кейін серверді қайта іске қосыңыз:

  bash

  Копировать

  reboot

• Қауіпсіздік компоненттерін жаңарту: Қауіпсіздікке қатысты маңызды жаңартулар үшін келесі команданы пайдаланыңыз:

  bash

  Копировать

  apt-get upgrade -y

Сонымен қатар, автоматты жаңартуларды қосып, жүйенің қауіпсіздік патчтарын автоматты түрде қолдануын қамтамасыз ету ұсынылады. Ол үшін unattended-upgrades қызметін орнатыңыз:

2. Брандмауэр және трафикті сүзу

Дұрыс конфигурацияланған брандмауэр және трафикті сүзу — қауіпсіздіктің ең маңызды қадамдарының бірі. Тек жүйе үшін қажетті порттарды ғана ашып, сырттан қол жеткізуді шектеу көмектеседі.

ufw (Uncomplicated Firewall) орнату

Proxmox Debian жүйесін қолданатындықтан, брандмауэрды ufw көмегімен оңай баптай аласыз. Негізгі конфигурация мысалы:

1. ufw орнату:

   bash

   Копировать

   apt install ufw

2. Оны қосу:

   bash

   Копировать

   ufw enable

3. Тек қажетті порттарды ашыңыз. Мысалы, Proxmox үшін веб-интерфейске 8006 порты, SSH-ға 22 порты және VPN (егер пайдаланылса) үшін порттарды ашыңыз:

   bash

   Копировать

   ufw allow from <trusted_ip> to any port 8006 proto tcp ufw allow from <trusted_ip> to any port 22 proto tcp ufw allow 1194/udp # Егер OpenVPN қолдансаңыз

4. Қолданылмайтын барлық порттарды жабу:

   bash

   Копировать

   ufw default deny incoming ufw default allow outgoing

5. Брандмауэрдың күйін тексеру:

   bash

   Копировать

   ufw status

Күрделі конфигурация үшін iptables немесе nftables қолдануға болады, бірақ көбінесе ufw құралдары жеткілікті.

3. Proxmox веб-интерфейсін қорғау

Proxmox веб-интерфейсі — ең осал орындардың бірі, себебі оған қол жеткізу жүйеге кең мүмкіндіктер береді.

HTTPS қолдану

HTTPS орнату деректерді тасымалдау кезінде қорғауды қамтамасыз ету үшін өте маңызды. Бұл үшін SSL сертификатын орнату қажет.

1. Өзіндік қолтаңба сертификаты: Егер сізде сертификат жоқ болса, өзіндік қолтаңба сертификатын жасауға болады:

   bash

   Копировать

   openssl req -new -newkey rsa:2048 -days 365 -nodes -x509 -keyout /etc/ssl/private/proxmox.key -out /etc/ssl/certs/proxmox.crt

2. Proxmox-ты SSL пайдалану үшін конфигурациялау: Сертификатты Proxmox конфигурация каталогына көшіру:

   bash

   Копировать

   mv /etc/ssl/private/proxmox.key /etc/pve/local/pve-ssl.key mv /etc/ssl/certs/proxmox.crt /etc/pve/local/pve-ssl.pem

3. Proxmox-ты қайта іске қосу:

   bash

   Копировать

   systemctl restart pveproxy

Енді Proxmox веб-интерфейсі HTTPS арқылы байланысады.

Көп факторлы аутентификация (MFA)

Қауіпсіздікті арттыру үшін Google Authenticator немесе басқа қосымша арқылы көп факторлы аутентификацияны қосуға болады.

1. MFA орнату үшін пакетті орнату:

   bash

   Копировать

   apt install pam_google_authenticator

2. Пайдаланушы үшін MFA орнату: MFA қосу үшін google-authenticator пәрменін пайдаланыңыз:

   bash

   Копировать

   google-authenticator

3. PAM конфигурациясын MFA қосу үшін баптау: SSH конфигурациясын ашып, келесі жолды қосыңыз:

   bash

   Копировать

   vi /etc/pam.d/sshd auth required pam_google_authenticator.so

4. SSH-ны қайта іске қосу:

   bash

   Копировать

   systemctl restart sshd

Енді жүйеге кіру үшін тек құпия сөз ғана емес, сонымен бірге Google Authenticator қосымшасынан алынған код қажет болады.

IP бойынша қолжетімділікті шектеу

Веб-интерфейске шабуылдардың ықтималдығын азайту үшін IP бойынша қолжетімділікті шектеу ұсынылады. Мұны ufw немесе Proxmox деңгейінде брандмауэр арқылы орнатуға болады.

Мысалы:

4. SSH арқылы серверге қол жеткізуді қорғау

SSH сессияларын қауіпсіз ету үшін оларды максималды қауіпсіздік үшін баптау керек.

Құпия сөзбен кіруді өшіру

Құпия сөзбен кірудің орнына SSH кілттерін пайдалану жүйесін орнату қажет.

1. SSH кілттерімен аутентификацияны қосу: Парольмен кіруді өшіру үшін SSH конфигурациясын баптаңыз:

   bash

   Копировать

   vi /etc/ssh/sshd_config PasswordAuthentication no

2. SSH-ны қайта іске қосу:

   bash

   Копировать

   systemctl restart sshd

Брутфорс шабуылдарынан қорғау

Парольдерді жоюдан кейін де, брутфорс шабуылдарынан қорғау маңызды. Ол үшін fail2ban құралын орнату керек.

1. fail2ban орнату:

   bash

   Копировать

   apt install fail2ban

2. SSH арқылы логиндерге шектеу қою үшін fail2ban конфигурациясын орнату: /etc/fail2ban/jail.local файлын ашып, келесі баптауларды қосыңыз:

   ini

   Копировать

   [sshd] enabled = true port = ssh logpath = /var/log/auth.log maxretry = 3 bantime = 600

3. fail2ban қайта іске қосу:

   bash

   Копировать

   systemctl restart fail2ban

Енді 3-тен артық сәтсіз кіруге тырысқан IP адресі 10 минутқа блокталады.

5. Контейнерлер мен виртуалдық машиналарды қорғау

Proxmox виртуалдық машиналарды (VM) және контейнерлерді (LXC) іске қосуға мүмкіндік береді. Оларды қорғау маңызды, себебі бір контейнерден немесе виртуалды машинаның ішінен басқа контейнерге немесе виртуалды машинаға шабуыл жасау оңай болуы мүмкін.

Пайдаланушы құқықтарын шектеу

Пайдаланушыларға виртуалды машиналарға немесе контейнерлерге толық құқықтар бермеңіз. Оның орнына, қолданушылардың әрекеттерін шектеу үшін рөлдер бойынша қолжетімділікті (RBAC) пайдаланыңыз.

Шектеулі пайдаланушы жасау мысалы:

Бұл пайдаланушы тек 100 ID-і бар виртуалды машинаны басқаруға қол жеткізе алады.

SELinux немесе AppArmor қолдану

SELinux немесе AppArmor жүйелерді қорғау үшін қолданылуы мүмкін. Олар контейнерлер мен виртуалды машиналарға қатал қауіпсіздік саясаттарын орнатуға көмектеседі.

SELinux орнату:

AppArmor орнату:

Қорытынды

Proxmox гипервизорын қорғау үшін кешенді тәсіл қажет: жаңартулар мен патчтардан бастап SSH, веб-интерфейс және виртуалды машиналар үшін қауіпсіздік баптауларына дейін. Бұл әдістер мен құралдарды пайдалану жүйеңіздің қауіпсіздігін айтарлықтай арттыруға және шабуылдардан қорғауға көмектеседі.

Реклама Google

 

 

Назар аударыңыз! Бұл мақала ресми құжат емес. Ақпаратты сақтықпен және сынақ ортасында пайдалану керек. Әлемдегі жетекші жеткізушілерден сақтық көшірме жасау және киберқауіпсіздік бағдарламалық құралының тегін сынақ нұсқасына тапсырыс беріңіз: Тегін сақтық көшірме жасау және киберқауіпсіздік бағдарламалық құралының спецификациясын есептеу қызметіміздің артықшылығын пайдаланыңыз: Acronis Arcserve Veeam Vembu Vinchin Acronis Arcserve Veeam Vembu Vinchin   Заманауи сақтық көшірме жасау, репликациялау, деректерді синхрондау және төлемдік бағдарламадан қорғау жүйелерін құру туралы сұрақтарыңыз болса, қазіргі заманғы деректердің сақтық көшірмесін жасау және қалпына келтіру технологиялары бойынша кеңес алу үшін біздің компанияға хабарласыңыз . Біздің компанияның осы салада 20 жылдан астам тәжірибесі бар.