こんにちは！眠い目を擦りながら、この記事を書いてます！今も引き続き自作Webサーバを公開するためにセキュリティを強固にする活動をしています。また、その備忘録を書こうと思います。

今回やりたいこと

Webサーバを外部からアクセスできるようにするため、武装地帯と非武装地帯に分けたいと思います。今回公開するWebサーバは非武装地帯、その他のアクセスして欲しくないものは武装地帯に置きます。

そのために、まずはDMZで非武装地帯にWebサーバを置く設定します。できたら、他のセキュリティを強固にする設定をします。

環境

raspberry pi 5
楽天ひかり
BE9300 Tri-Band Wi-Fi 7 Router

TPlinkにDMZの設定をする

自分の家で使用しているルータはTPlinkなので、今回はこれで説明します。まず、TPlinkの管理ページへ行きます。TPlinkはhttp://192.168.0.1 です。
ログインすることができたら、上部の大まかなメニューの詳細設定を選択して、左側のメニューの「NAT転送」→「DMZ」を開き、公開したいPCのIPアドレスを入力して保存すると反映されるはずです。

SSHを22じゃなくて別のポート番号に設定する

WebサーバをいじるのにやっぱSSH使用したいけど、セキュリティ的に少し不安なので、SSH接続するポート番号を変更したいと思います。
まず、sshのデフォルトである22を拒否設定にします。

sudo ufw deny 22

次に、テキトーなポート番号を22の代わりに設定します。

sudo nano /etc/ssh/sshd_config

ここに

Port 49222

を追加で記述します。
そうしたら、このポート番号を許可します。

sudo ufw allow 49222/tcp

sshをリスタートします。

sudo systemctl restart ssh

ここまで設定したら、実際に外部のPCからssh接続をします。
22だとポート番号を打たなくても接続できますが、変更した場合そのポート番号も打つ必要があります。

ssh -p 49222 yourusername@192.168.0.20

何度もSSH試行した輩を爆破する設定をする

ここまでしたら大丈夫かと思いますが、ブルートフォース攻撃を防ぐため、何回のSSH攻撃を試行したIPアドレスに対して破壊するソフトをインストールします。

sudo apt install fail2ban

これは入れとくだけで、あとは放置してOK

今日はここまで！ねむい！寝る！