Сеть и доступы
Убираем ваши серверы из публичного интернета и даём команде вход, не завязанный на общий пароль.
Что входит
- Приватная сеть между вашими хостами на WireGuard со своим управляющим узлом, а не чужим сервисом
- SSH закрыт из интернета и доступен только через сеть
- Персональные доступы с именными ключами: отзыв человека — одна команда
- Внутренние сервисы опубликованы для команды без выставления наружу
- Правила хостового файрвола генерируются из того же источника, что и сеть, поэтому не расходятся с ней
- Описанный путь восстановления на случай, когда сломается сама сеть
Как идёт работа
Составляем карту того, что сейчас достижимо из интернета. Обычно этого больше, чем ожидают: правило файрвола пережило причину, по которой его завели.
Дальше строим сеть, переносим доступ хост за хостом и закрываем публичную поверхность за собой. Порядок важен: ничего не закрывается, пока замена не проверена с того места, откуда реально работает ваша команда.
Путь восстановления описывается до того, как понадобится, а не после. Сеть, которая заперла вас снаружи ваших же серверов, хуже открытого порта, который она заменила.
Что нужно от вас
Root на хостах, список того, кому к чему нужен доступ, и адрес существующего VPN или бастиона — чтобы вывести его из эксплуатации, а не оставить работать рядом.
Когда это вам не нужно
Если серверы уже в приватной сети облачного провайдера, а доступ идёт через его систему аутентификации, то отдельная сеть в основном добавит вам ещё один эксплуатируемый компонент.
Что сюда входит из каталога
Эти направления закрываются в рамках пакета или вместе с ним.