Das Authentifizierungsprotokoll zeigt an diesem Wochenende 50.000 SSH-Versuche auf einem kleinen VPS-Staging. Nichts wurde kompromittiert – das Root-Passwort wurde deaktiviert. Aber das Rauschen verbirgt eine echte Warnung, und fail2ban hat die IP von der Überwachung ausgeschlossen.
Eine Bastion (Jump-Host) konzentriert die Verwaltung: einen einzigen gesicherten, protokollierten, bekannten Punkt – anstelle von N Servern mit „:22“ zur Welt hin.
Bastion-Modell
Architektur: Administrator → Bastion (öffentlich oder nur VPN) → Ziele im privaten Netzwerk ohne öffentliches SSH.
Bastion Hardening: minimales Betriebssystem, automatische Sicherheitsupdates, 2FA, „AllowUsers“, kein Weiterleitungsagent, sofern nicht ausdrücklich dokumentiert.
ProxyJump und Ergonomie
Beispiel „~/.ssh/config“:
Host-Bastion
Hostname jump.example.com
Benutzeradmin
Host-Produkt-*
ProxyJump-Bastion
Benutzerbereitstellung
ControlMaster reduziert die wahrgenommene Latenz. Bastion ist nur dann nützlich, wenn das Team es reibungslos nutzt – messen Sie SSH-Timeout-Tickets, bevor Sie zusätzliche Hops hinzufügen.
Schlüssel, Rotation und Audit
Ein Schlüssel pro Mensch, der nicht auf Slack geteilt wird. authorized_keys über Ansible oder Terraform. Den Abreisetag widerrufen.
Die Bastion kennt die menschlichen Schlüssel; Die Ziele kennen den Bastion Key oder SSH-Zertifikate (Vault, Step-CA). Sitzungsaufzeichnung (Tlog, Teleport) für regulierte Produktion; Minimum: auth.log auf SIEM zentralisieren.
Moderne Alternativen
| Werkzeug | Stärke | Schwäche |
|---|---|---|
| WireGuard-Netz | Kein Sprung wahrgenommen | Schlüssel-Governance |
| SSM-Sitzungsmanager | Null eingehender Port | AWS-Sperrung |
| Tailscale SSH | Einfachheit für KMU | Zu beachtende ACL-Richtlinie |
Bei Shared Hosting ohne Root-SSH gilt Bastion nicht – beschränken Sie das Admin-Panel nach IP und 2FA.
Allmähliche Aushärtung
Woche 1: Bastion hoch, direkter paralleler Zugriff für Rollback weiterhin möglich. Woche 2: Firewall 22 direkt außer Bastion geschlossen. Woche 3: Zeitungsrezension. Woche 4: Entzug des Parallelzugriffs.
Automatisieren Sie die wöchentliche Bestandsaufnahme: Cloud-API-Skript, das Instanzen mit „:22“ öffentlich auflistet. Ein Versehen Terraform = sofortige Regression.
Bastion- und Hosting-Angebote
Einige Clouds bieten Managed Bastion oder Session Manager – bewerten Sie die Kosten im Vergleich zu einem kleinen VM-Sprung von 5 € im selben Rechenzentrum. Bare Metal: Bastion auf benachbarter VM reduziert die ProxyJump-Latenz.
Speichern Sie die Bastion-SSHD-Konfiguration in Git (Ansible): Überprüfen Sie nach der Wiederherstellung des Snapshots die autorisierten Schlüssel. Fordern Sie Dienstleister auf, mit kurzlebigen Schlüsseln durch die Bastion zu gehen – zentraler Widerruf am Ende des Einsatztages.
Fail2ban-Bastion + SIEM-Korrelation: Brute Force auf dem Jump-Host = P1-Alarm, kein stilles Gefängnis. Für Windows Admin, Bastion Linux + gleichwertiger RDP-Tunnel – gleiche Logik: Konzentrieren und Protokollieren.
Der Gipfel: 22 überall schließen, außer auf einer nicht ausgebesserten Festung
Entscheide dich und gehe ohne blinden Fleck voran
Zählen Sie heute die Server mit öffentlichem SSH – wenn es mehr als einer ist, ist Bastion im Rückstand. Stellen Sie dokumentiertes ProxyJump bereit, widerrufen Sie verwaiste Schlüssel und testen Sie die Rebuild-Bastion von Ansible vierteljährlich.
Erfordern Sie Anbieter über Bastion mit ephemerem Schlüssel. Vergleichen Sie VPS Jump 5 € mit Bastion, das über das Verzeichnis verwaltet wird. Komplett mit Fail2ban: limits zur SSH-Härtung.
Häufig gestellte Fragen
Bastion oder VPN?
Bastion = geprüfter einzelner SSH-Punkt. VPN = großes privates Netzwerk. Oftmals nach Zugangsprofilen kombinierbar.
Passwort auf der Bastion autorisiert?
Nicht in Produktion: Ed25519-Schlüssel, optional MFA, fail2ban oder Ratenbegrenzung zusätzlich.
Wie beschleunigt man ProxyJump?
~/.ssh/config mit Host Bastion + ProxyJump + ControlMaster für Multiplexing.
Und ohne Festung?
SSM Session Manager, Tailscale SSH, mTLS-Administrator – keine öffentliche 22 auf jedem Knoten.
Zählen Sie die Anzahl der Server mit öffentlichem SSH heute – wenn es mehr als einer ist, ist Bastion nicht optional, es ist spät.