INNSIKT: Ingen fast IP-adresse? Slik får du likevel serveren din på internett [Ekstra]

[Harald Brombach (digi.no)]

INNSIKT: Ingen fast IP-adresse? Slik får du likevel serveren din på internett [Ekstra]

[NULL]

"Pass på sikkerheten" burde vel egentlig kommet først i artikkelen... Jeg heller mot at hvis man trenger en guide for å gjøre dette, så burde man egentlig la være....

Et annet element er jo også at selv for IPv4, er det noen nettleverandører som deler ut flere IP-adresser, slik at man evt. kan separere dette fra sitt hjemmenett. Om man klarer seg med IPv6-only, kan det være at det er enda flere der man enkelt kan separere dette i større grad. Evt. velg noe annet som ruter, der man kan ha mer kontroll gjennom brannmurregler (bare det å begrense seg til norske IP-er skulle vel alene eliminere en ganske stor andel av forespørslene som kommer bare man eksponererer noe mot nettet...). DMZ er vel implementert litt forskjellig på diverse rutere, man kan også være noe å se på. 

[-Night-]

Port 25 innkommende er nok blokkert hos 99% av de fleste som har privat linjer. (med meget god grunn) Men ellers er dette innafor jeg har selv kjørt ymse servere over lang tid.

En rask skan av et av Get sine /17 ranger fant jeg 600 server som svarer på port 80. Hvor av veldig mye er upatchet, noe skrot get levere for "bedre" wifi osv osv

Endret 8. august 2021 av -Night-

[Arne Sommerfelt]

Hei, jeg har et tips her: Jeg bruker min kraftige stasjonære hjemmemaskin via Remote Desktop. Løste problemet med vinglete IP-adresse fra Telia (GET) ved å ha et skript som jevnlig henter min eksterne IP-adresse fra http://api.ipify.org og oppdaterer denne i en fil som er lagret i skyen. Dermed kan jeg alltid finne rett adresse når jeg ikke hjemme. Kan anbefale denne løsningen til de som bare trenger fjernstyring. Jeg har selvsagt måttet åpnet en port-forwarding på ruteren med en helt annen port en den som er standard for RDP.

Jeg er ikke sikkerhetsekspert og hører gjerne kommentarer til sikkerheten i en slik løsning.

[NULL]

51 minutes ago, Arne Sommerfelt said:

Hei, jeg har et tips her: Jeg bruker min kraftige stasjonære hjemmemaskin via Remote Desktop. Løste problemet med vinglete IP-adresse fra Telia (GET) ved å ha et skript som jevnlig henter min eksterne IP-adresse fra http://api.ipify.org og oppdaterer denne i en fil som er lagret i skyen. Dermed kan jeg alltid finne rett adresse når jeg ikke hjemme. Kan anbefale denne løsningen til de som bare trenger fjernstyring. Jeg har selvsagt måttet åpnet en port-forwarding på ruteren med en helt annen port en den som er standard for RDP.

Jeg er ikke sikkerhetsekspert og hører gjerne kommentarer til sikkerheten i en slik løsning.

Hadde skippet å ha RDP direkte eksponert. En "enkel basisløsning" kan være å få satt opp VPN, samt aksessliste.

[evilGuy]

Jepp. RDP på internett er en sikker måte å bli hacket på

[Kahuna]

Arne Sommerfelt skrev (2 timer siden):

Hei, jeg har et tips her: Jeg bruker min kraftige stasjonære hjemmemaskin via Remote Desktop. Løste problemet med vinglete IP-adresse fra Telia (GET) ved å ha et skript som jevnlig henter min eksterne IP-adresse fra http://api.ipify.org og oppdaterer denne i en fil som er lagret i skyen. Dermed kan jeg alltid finne rett adresse når jeg ikke hjemme. Kan anbefale denne løsningen til de som bare trenger fjernstyring. Jeg har selvsagt måttet åpnet en port-forwarding på ruteren med en helt annen port en den som er standard for RDP.

Jeg er ikke sikkerhetsekspert og hører gjerne kommentarer til sikkerheten i en slik løsning.

RDP direkte eksponert er en risiko, som flere andre påpeker. Å bruke en ikke-standard port gjør ting litt bedre. 

Jeg bruker en variant av det samme men jeg har åpnet for RDP fra kun en annen maskin, ikke hele internet. En maskin i Azure med fast IP, som igjen har en RDP-åpning mot en annen IP, som jeg ved behov kan endre fra azure-portalen. Det blir fort rdp-i-rdp-i-rdp men det får jeg tåle.  

Takk for adressen til den 'IP-henteren', den vil jeg få bruk for selv.

Om jeg får tid skal jeg se på 'port knocking' for å åpne port ved behov.

 

[NULL]

55 minutes ago, Kahuna said:

Takk for adressen til den 'IP-henteren', den vil jeg få bruk for selv.

Har en cron-jobb på en maskin som gjør noe lignende, men da bare aksesserer en webserver jeg har i skyen og bare gjør en http-request som da blir logget,,,

[sk0yern]

evilGuy skrev (11 timer siden):

Jepp. RDP på internett er en sikker måte å bli hacket på

Neida, det er ikke det.
Patcher du på patchetirsdag, og bruker sterke passord kommer du langt.
Selvfølgelig avhenger dette av trusselbildet ditt.
For Kongsberg våpenfabrikk er dette åpenbart ikke godt nok, for Jan Johannsen sin private pc på Kløfta vil det fungere helt greit.
Dette gjelder ikke bare RDP, men også diverse hjemmeroutere/brannmurer med vpn-funksjonalitet, linuxbokser som kjører ssh etc.
 

[Arne Sommerfelt]

Takk til alle for kommentarer og innspill! Jeg merker meg risikoen som påpekes, og som vel koker ned til at jeg blindt stoler på at Microsoft har tettet alle huller i RDP og at mitt passord er sterkt nok. At jeg som privatperson er mindre utsatt for målrettede angrep og bruker et obskurt portnummer er ingen garanti, men hjelper litt.

[NULL]

52 minutes ago, Arne Sommerfelt said:

Takk til alle for kommentarer og innspill! Jeg merker meg risikoen som påpekes, og som vel koker ned til at jeg blindt stoler på at Microsoft har tettet alle huller i RDP og at mitt passord er sterkt nok. At jeg som privatperson er mindre utsatt for målrettede angrep og bruker et obskurt portnummer er ingen garanti, men hjelper litt.

Målrettede angrep er i stor grad i spesielle tilfellet. Det bare utnytte en evt. hittil ukjent svakhet for å få lagt inn noe malware/cryptoware e.l. via automatiske løsninger vil mer trolig. 

Men hvis det er slik at inntrafikken til RDP eksempelvis alltid kommer fra bedriften man jobber i, kan det jo være at man bør vurdere å sette opp en brannmurregel omså i Windows.