Bastionhost:Melhores práticas para usar o Bastionhost em operações de O&M de ativos protegidos por NAT gateway

O NAT gateway é um método comum de implantação de rede para cargas de trabalho corporativas. Na prática, seus ativos podem estar implantados atrás de um NAT gateway, o que exige o uso do Bastionhost para controlar com segurança as operações de O&M nesses ativos. Este tópico descreve como usar o Bastionhost para realizar operações de O&M com segurança em ativos protegidos por um NAT gateway.

Contexto

Para limitar a exposição de endereços IP públicos a ataques de rede externos ou resolver a escassez de endereços IP, alguns usuários implantam um NAT gateway para traduzir endereços, além de ocultar e proteger os ativos internos. Para esse caso de uso, o Bastionhost oferece uma solução para controlar e auditar as operações de O&M nos ativos atrás de um NAT gateway.

Soluções

O Bastionhost oferece as duas soluções a seguir para controlar com segurança as operações de O&M em ativos atrás de um NAT gateway:

• Solução 1: Modo de domínio de rede

  O Bastionhost Enterprise Edition é compatível com o recurso de domínio de rede. O administrador pode usar o Elastic IP Address (EIP) de um NAT gateway de Internet como o endereço de um servidor proxy, adicionar o servidor proxy ao Bastionhost e, em seguida, importar os ativos por meio do Bastionhost. Dessa forma, o Bastionhost controla e audita as operações de O&M nos ativos atrás de um NAT gateway.

• Solução 2: Modo de conexão direta

  O Bastionhost permite criar vários ativos que compartilham o mesmo endereço IP e distinguir os ativos de destino especificando portas de destino diferentes. Atrás de um NAT gateway, os endereços dos ativos a serem gerenciados são diferenciados pelo EIP do NAT gateway combinado a diferentes portas. Ao criar um ativo no Bastionhost, o administrador pode definir o endereço de cada ativo como o EIP do NAT gateway e a porta correspondente. Também é possível usar as observações para distinguir os ativos de destino. Assim, o Bastionhost controla e audita as operações de O&M nos ativos atrás de um NAT gateway.

Em comparação com o modo de conexão direta, o modo de domínio de rede permite importar diretamente os endereços IP reais dos hosts originais, sem alterações, após configurar o domínio de rede. Isso facilita o gerenciamento de ativos e as operações de O&M.

Modo de domínio de rede

Pré-requisitos

• Um NAT gateway de Internet associado a um EIP. Para obter instruções, consulte Internet NAT gateway.

• Uma entrada DNAT para o NAT gateway de Internet. Para obter instruções, consulte Create and manage DNAT entries.

  A criação de uma entrada DNAT mapeia o EIP do NAT gateway de Internet para um servidor, que passa a atuar como servidor proxy.

• Você comprou ou fez upgrade para o Bastionhost Enterprise Edition. Para obter instruções, consulte Purchase an instance e Upgrade instance specifications.

Procedimento

1. Faça login no console do Bastionhost. Na barra de navegação superior, selecione a região da sua instância do Bastionhost.

2. Na lista de instâncias do Bastionhost, encontre a instância desejada e clique em Manage.

3. Adicione hosts ao Bastionhost. Para obter instruções, consulte Add hosts.

4. Configure um domínio de rede.

   1. No painel de navegação à esquerda, escolha Assets > Network Domain.

   2. Na página Network Domain, clique em Create Network Domain.

   3. No painel Create Network Domain, configure o nome do domínio de rede e defina Connection Method como Proxy.

   4. Na seção Primary Proxy Server, clique em Create Proxy Server. Na caixa de diálogo que aparecer, configure os parâmetros do servidor proxy primário.

      Parâmetro	Descrição
      Proxy Type	Selecione o tipo de proxy. Recomendamos o proxy Secure Shell (SSH).
      Server Address	Insira o endereço IP do servidor proxy.
      Server Port	Insira a porta do servidor proxy.
      Host Account	Insira a conta usada para fazer login no servidor proxy.
      Password	Insira a senha da conta do servidor proxy.

5. Mova os ativos para o domínio de rede.

   1. Na página Network Domain, encontre o domínio de rede desejado na lista de domínios de rede. Na coluna Actions, clique em Add Host.

   2. Na caixa de diálogo Add Host, selecione os hosts desejados e clique em Add.

   3. Na mensagem que aparecer, clique em Add.

Após concluir a configuração, use o Bastionhost para realizar operações de O&M nos ativos. Para obter detalhes, consulte O&M overview.

Modo de conexão direta

Pré-requisitos

O recurso DNAT do NAT gateway de Internet deve estar configurado para fornecer serviços voltados para a Internet aos ativos. Para obter instruções, consulte Configure DNAT on an Internet NAT gateway for an ECS instance.

Procedimento

1. Faça login no console do Bastionhost. Na barra de navegação superior, selecione a região da sua instância do Bastionhost.

2. Na lista de instâncias do Bastionhost, encontre a instância desejada e clique em Manage.

3. No painel de navegação à esquerda, escolha Assets > Host.

4. Na página Host, escolha Import Other Hosts > Create Host.

5. No painel Create Host, configure os principais parâmetros descritos na tabela a seguir e clique em Create.

   Parâmetro	Descrição
   Operating System	Selecione Linux.
   Host IP Address	Insira o EIP associado ao NAT gateway.
   Remarks	Insira observações para o ativo para facilitar a identificação posterior.

6. Na lista de hosts, encontre o host que você criou e clique no nome dele.

7. Na guia Service Port, insira a porta mapeada para o seu ativo no NAT gateway e clique em Update.

Após concluir a configuração, use o Bastionhost para realizar operações de O&M nos ativos. Para obter detalhes, consulte O&M overview.