Fermeture du port 22

Depuis le firewall, fermeture du port 22 et ouverture du port 6022 pour une VM client

ad44

Dans OpnSense > firewall > NAT > Port-forward

1. Sur l'IP externe AD44 (51.83.117.102) : interdiction du port 22 via un port forward vers une IP vide/bogus
2. Sur l'IP externe AD44 (51.83.117.102) : autorisation du port 6022 et translation de ce port vers le port 22 LAN d'AD44 (10.0.0.25)
3. Sur l'IP interne AD44 (10.0.0.25) : accès inchangé via le port 22 lorsque le VPN est branché

Autre VM

Même principe si on veut appliquer cela à une autre machine :

1. NAT PortForward sur l'IP externe en destination, port 6022, et le NAT sur l'IP interne, port 22.
2. NAT PortForward sur l'IP externe en destination, port 22, et le NAT sur l'alias Bogus, port 22 (ou autre aléatoire puisque c'est une IP sans issue).

Ma recommandation pour éviter d'avoir des soucis supplémentaires si nouvel audit :

• Blocage du port 22 généralisé depuis l'extérieur
• Autorisation exceptionnelle du port 6022 via NAT PF pour une sélection d'IPs connues chez AJLSM
• Accès VPN obligatoire et utilisation de l'IP interne pour accès via SSH port 22.

L'IP externe port 6022 reste uniquement pour certaines IP whitelistées en cas d'urgence si le VPN saute.

Si oui me confirmer par retour de mail pour que je mette cela en place

A terme, il serait également pertinent d'un pdv sécurité de bloquer l'accès à Proxmox sur les ports 8006/22 et mettre en place un deuxième VPN destiné aux cas d'urgence pour l'accès à Proxmox (idéalement via OVH directement sur le VRACK si cela existe, comme chez Online avec le RPN-VPN). Le principe étant de verrouiller tout accès extérieur en dehors des accès client (80,443,21 et divers) ainsi que les accès port VPN.