granta a écrit :
Souvent, je vois sur le routeur un bête forward du port ssh vers le serveur linux local.
|
Aoutch ... comme on dit, "obscurity is no security" : un scan de port et c'est grillé !
Par contre c'est vrai que ca va dépendre des accès et volumes :
si c'est pour un client lourd, VPN+couche de présentation RDS RemoteApp / Citrix / ...
si c'est pour un transfert de fichier, une DMZ où déposer le fichier et venir de chercher depuis le réseau plus sécurisé
En général,
- tu dois être en mesure d'identifier tes utilisateurs et de les révoquer (donc pas de compte générique),
- de préférence, identifier les utilisateurs avec au moins 2 facteurs (ce qu'il sait =password/ ce qu'il possède =token/ ce qu'il est =biométrie/ ...)
- les flux doivent être brisés le plus possible (dépôt façon "boite à lettres" : accessible du réseau extérieur et du réseau intérieur, mais pas moyen de passer directement de l'extérieur à l'intérieur / utilisation de bastions)
- les flux doivent être chiffrés et authentifiés (VPN, https, ftps, sftp...)
- si pas de protocole robuste de bout en bout, changer de protocole en cours de route pour que la même faille ne soit pas utilisable pour remonter directement (RDP présenté en HTTPS par RDWeb, reverse-proxy, ...)
- logger les accès et bloquer les excès de tentatives ratées (fail2ban, mécanismes AD, ...)
