Ogni macchina Lightsail nasce con la porta 22 (SSH) aperta a tutto il mondo. Appena ha un IP pubblico, iniziano i tentativi di accesso automatici da mezzo pianeta: migliaia al giorno. Con una chiave SSH robusta non entreranno, ma riempiono i log, consumano risorse e qualsiasi falla futura nel servizio SSH resta esposta. La soluzione corretta è semplice: consentire la porta 22 solo dall'IP da cui ti colleghi tu.
Lightsail ha un firewall proprio, per macchina, che si gestisce dalla console senza toccare nulla dentro il server. Questo lo rende molto comodo e anche molto facile da usare per chiudersi fuori se sbagli, quindi segui l'ordine dei passi.
Prima di iniziare: cosa significa ogni cosa
- Firewall
- Il portiere della tua macchina: un elenco di quali porte sono aperte e per chi. In Lightsail si gestisce dalla console web, senza entrare nella macchina.
- Porta 22 e SSH
- SSH è il modo in cui un tecnico entra nella macchina per amministrarla da un terminale. Usa la "porta" numero 22. Se è aperta a tutto il mondo, tutto il mondo proverà a entrare.
- IP pubblico
- L'indirizzo numerico con cui la tua connessione esce su internet. Lo vedi cercando "qual è il mio IP". È diverso dall'indirizzo interno del tuo computer a casa o in ufficio.
- IP dinamico o fisso
- Dinamico: il tuo operatore ti cambia l'indirizzo ogni tanto (la norma a casa). Fisso: sempre lo stesso (abituale nelle aziende, a volte a pagamento).
- CIDR (/32, /24)
- Un modo abbreviato di scrivere un intervallo di indirizzi. "/32" è un solo indirizzo; "/24" sono 256 consecutivi. Se vuoi solo il tuo IP, non devi scrivere nulla: basta l'indirizzo.
- IPv4 e IPv6
- Due tipi di indirizzi internet, quello classico (quattro numeri con punti) e quello nuovo (più lungo, con lettere e due punti). La macchina può averli entrambi, e ognuno ha il proprio firewall.
Passo dopo passo
Scopri il tuo IP pubblico
Dal computer con cui ti colleghi, cerca "qual è il mio IP" nel browser o chiedilo al tuo router. Annota l'indirizzo IPv4, quattro numeri separati da punti. Se lavori dall'ufficio e da casa, ti serviranno entrambi.
Importante: se la tua connessione ha un IP dinamico (la maggior parte di quelle domestiche), cambierà ogni tanto e dovrai aggiornare la regola. Lo vediamo alla fine.
Apri il firewall della macchina
Nella console di Lightsail, scheda Istanze, clicca sulla tua macchina e poi sulla scheda Rete (Networking). Sotto l'IP pubblico c'è il blocco Firewall IPv4 con le regole attuali. Vedrai quella di SSH con "Qualsiasi indirizzo IP" come origine.
Modifica la regola SSH e limita l'origine
Clicca sulla matita della regola SSH, TCP 22. Spunta la casella Limita a indirizzo IP e scrivi il tuo IP del passo 1. Puoi aggiungere più indirizzi separati nella stessa regola, oppure creare una regola per ogni luogo da cui ti colleghi. Se vuoi un intervallo, usa la notazione CIDR, per esempio
203.0.113.0/24.Lascia spuntata l'opzione Consenti SSH dal browser di Lightsail se compare: così, anche se il tuo IP cambia, potrai sempre entrare con il terminale web della console di Lightsail, che arriva da indirizzi propri di AWS. È la tua rete di sicurezza.
Salva e prova senza chiudere la sessione attuale
Salva la regola. La modifica è immediata. Prima di dare qualcosa per scontato, apri una nuova sessione SSH dal tuo computer e verifica di entrare. Se avevi già una sessione aperta, non chiuderla finché non confermi che la nuova funziona: le connessioni già stabilite non vengono interrotte, ma quelle nuove sì che vengono filtrate.
Controlla anche il firewall IPv6
Se la macchina ha IPv6 attivo, un po' più in basso c'è un blocco Firewall IPv6 separato, con la sua regola SSH aperta a tutti. Se non usi IPv6 per collegarti, elimina quella regola o limitala al tuo indirizzo IPv6. È la svista più comune: si chiude la porta IPv4 e si lascia quella IPv6 spalancata.
Decidi cosa fare quando il tuo IP cambia
Con un IP dinamico, un giorno non entrerai. Hai tre opzioni ragionevoli: entrare dal terminale nel browser di Lightsail e non cambiare nulla (va bene per un'emergenza); aggiornare la regola con il tuo nuovo IP dalla console, che richiede un minuto; oppure chiedere al tuo operatore un IP fisso, che nelle connessioni aziendali di solito è disponibile.
Cosa può andare storto
Sono rimasto chiuso fuori da SSH
Tranquillo: il firewall di Lightsail si modifica dalla console web, non da dentro la macchina. Entra in Lightsail, scheda Rete, e correggi l'IP della regola. Se ti serve subito, usa il terminale nel browser di Lightsail (pulsante "Connetti tramite SSH" sulla macchina), che non passa dal tuo IP.
Continuo a non entrare anche se l'IP è corretto
Verifica se la macchina ha anche un firewall interno (ufw su Ubuntu, firewalld su Amazon Linux) e che questo consenta la 22. Entrambi i firewall, quello di Lightsail e quello del sistema, devono lasciar passare. E controlla di stare usando l'IP del computer da cui ti colleghi, non quello di una VPN o di un'altra sede.
Ho inserito l'IP della mia rete locale
Gli indirizzi che iniziano con 192.168, 10. o da 172.16 a 172.31 sono della tua rete interna e non servono: il firewall di Lightsail vede il tuo IP pubblico, quello che ti dà l'operatore. Torna al passo 1.
Un collega deve entrare da un altro posto
Aggiungi il suo IP come un'altra voce della stessa regola invece di riaprirla a tutto il mondo. E se l'elenco cresce, è il momento di pensare a una VPN o a un bastion host: un solo IP di ingresso che gestisci tu.
In Simplio
In Simplio il firewall di ogni macchina Lightsail è un elenco modificabile: aggiungi la porta, scegli "solo il mio IP" (Simplio sa già qual è il tuo) e salvi, con conferma a due fattori per le modifiche delicate. Inoltre ogni persona del tuo team vede solo le macchine che le hai assegnato, e ogni modifica resta nel registro attività con chi, quando e da dove.
La stessa cosa, in AWS e in Simplio
| Nella console di AWS | In Simplio | |
|---|---|---|
| Chiudere la porta 22 al tuo IP | Scoprire il tuo IP, console di Lightsail, scheda Rete, modificare la regola, ripetere per IPv6: 5 passi, 5 minuti per macchina | Regola "solo il mio IP" (Simplio sa già qual è): 1 clic per macchina |
| Quando cambia il tuo IP | Tornare alla console e modificare la regola | Stesso clic; oppure entrare dal terminale di Simplio senza toccare nulla |
| Sapere chi ha aperto cosa | CloudTrail, se vai a cercarlo | Ogni modifica nel registro attività con utente, data e IP |