Acces per dispozitiv, cu revocare imediată
Server VPN pentru lucru la distanță și pentru legarea privată a serverelor, construit pe WireGuard, pentru firmele din Moldova cu echipe împrăștiate între Chișinău, Bălți și birouri de acasă. Configurăm accesul per dispozitiv, legăm serverele într-o rețea privată și scoatem panourile de administrare de pe internetul public. Munca se consumă din orele DevOps incluse.
Fiecare persoană primește propria configurație WireGuard, cu chei separate pe telefon și pe laptop. Așa poți revoca accesul unui singur dispozitiv pierdut, fără să regenerezi nimic pentru restul echipei. Implicit lăsăm split tunnel, adică prin tunel merge doar traficul către resursele companiei, iar navigarea personală rămâne pe conexiunea locală, deci viteza nu suferă. Peste tunel punem autentificare cu al doilea factor pentru accesul administrativ și jurnalizăm conexiunile, ca să știi cine a intrat și când.
Partea pe care furnizorii locali nu o acoperă este legătura dintre servere. Construim o rețea privată în plasă cu WireGuard între toate mașinile tale, chiar dacă sunt pe servere diferite din Frankfurt. Baza de date, cache-ul, cozile și panourile de administrare ascultă numai pe interfața privată. Aplicația le vede prin tunel, internetul nu le vede deloc. Diferența practică: un scanner automat care caută porturi deschise nu găsește nimic de atacat, pentru că nu există nimic expus.
Un VPN prost configurat dă un fals sentiment de siguranță: tunelul există, dar SSH-ul a rămas deschis pe internet și parolele sunt aceleași de trei ani. Regula noastră este simplă, iar respectarea ei se verifică din exterior, nu doar din documentație. Practicile de mai jos intră în livrare implicit și se reverifică la fiecare intervenție din orele incluse. Dacă un serviciu nu poate trece încă prin tunel, îți spunem ce risc rămâne și cum îl reducem între timp.
Un server VPN încape pe cel mai mic VPS; plasa între servere se configurează pe mașinile pe care le ai deja. Cererile se deschid din panoul de client, la secțiunea Servicii DevOps, cu termenul propus de tine. Un VPS include între una și opt ore lunar, serverele dedicate între cinci și zece ore, în funcție de plan, iar cele GPU zece ore, iar cPanel o oră începând cu planul Advanced. Configurarea inițială și primele configurații de utilizator intră de obicei în cota unei luni. Orele nu se reportează, iar depășirile se facturează separat.
Orele de DevOps, CyberSecurity și Programare sunt incluse în abonament, lună de lună: 1 h de la planul cPanel Advanced în sus, 1–8 h pe VPS și 5–10 h pe serverele dedicate, în funcție de plan, și 10 h pe GPU. Le ceri din panoul de client și propui termenul; cota expiră la sfârșitul lunii calendaristice, iar lucrul de peste cotă se acceptă și se facturează separat, în euro, cu TVA 20 % și factură SFS. Cu abonamentele care includ minimum 2 ore lunare îți construim un site de prezentare, iar cu cele care includ minimum 5 ore, un magazin online — din orele deja plătite în abonament.
Aplicația de contabilitate și arhiva de documente stau pe un server accesibil doar prin tunel. Contabilii lucrează la fel de la birou și de acasă, iar plecarea unui angajat se rezolvă revocând o cheie.
Serverul 1C din depozitul central se leagă cu punctele de vânzare printr-un tunel permanent între sedii. Sincronizările de stoc circulă criptat, iar nimic din sistemul intern nu are adresă publică.
Mediile de testare și registry-ul de imagini sunt vizibile numai în tunel. Fiecare contractor primește chei proprii, limitate la proiectul lui, iar accesul se închide la finalul contractului fără să afecteze restul echipei.
Din panou, la Servicii DevOps, ne dai numărul de persoane și dispozitive, sediile de legat, serverele implicate și termenul care îți convine.
Stabilim adresarea rețelei private, ce servicii ascultă doar în tunel, unde stă bastionul și cine primește drepturi administrative peste VPN.
Ridicăm serverul WireGuard și plasa între mașini, mutăm SSH și bazele de date pe interfața privată, apoi închidem porturile rămase spre exterior.
Primești configurațiile per dispozitiv, procedura de adăugare și revocare, schema rețelei private și raportul unui audit de porturi din exterior.
Un VPN creează un tunel criptat între dispozitiv și rețeaua companiei, astfel încât resursele interne să fie accesibile fără a fi publicate pe internet. Firma câștigă două lucruri: angajații lucrează la fel de oriunde, iar serverele nu mai trebuie să expună porturi de administrare pe adrese publice.
WireGuard are cod mult mai mic, se conectează aproape instant, consumă mai puțin pe mobil și e mai simplu de auditat. OpenVPN rămâne util când ai nevoie de trecere prin firewall-uri restrictive pe port TCP obișnuit sau de integrări vechi. Pentru instalări noi recomandăm WireGuard.
Prin tunel permanent între cele două puncte, cu rute care spun ce subrețele circulă prin el. Cu WireGuard se poate construi o plasă, în care fiecare mașină vorbește direct cu celelalte. Configurăm adresarea, rutele și repornirea automată a tunelului după o pană de legătură.
Este un tunel între două rețele întregi, nu între un dispozitiv și o rețea. Se stabilește o singură dată, la nivel de echipament sau server, iar toate calculatoarele din cele două locații se văd reciproc fără să instaleze nimic. Tipic pentru legarea unui depozit cu sediul central.
Pentru că un port public de bază de date este găsit de scanere automate în câteva ore și nu are niciun motiv să existe. Aplicația poate ajunge la bază prin rețeaua privată, iar administratorii prin VPN. Astfel dispare o categorie întreagă de atacuri, inclusiv cererile de răscumpărare pe date șterse.
Ștergem cheia publică a dispozitivelor lui din configurația serverului și tunelul cade imediat. Pentru că fiecare persoană are chei proprii, nu se schimbă nimic pentru colegi. Îți lăsăm procedura scrisă la predare, ca revocarea să se poată face de echipa internă în câteva minute.
Spune-ne câți oameni și câte servere ai. Îți propunem topologia, mutăm serviciile de administrare în tunel și îți arătăm rezultatul cu un audit din exterior.
