Tuna Logo Tuna
RU EN
Войти

chess rook Бастион

Берёт всю сложность на себя!

SSH-сервер с ролевой мандатной моделью доступа, использующий принципы нулевого доверия.

Предназначен для безопасного доступа к инфраструктуре через централизованный контроль и аудит SSH-сессий. В отличие от классических SSH-серверов, Бастион делает акцент на идентификации пользователей, временных сертификатах и ролевой модели доступа.

Доступно в тарифе Команда

Bastion screenshot

Основные принципы

Мандатная модель
Role-Based Access Control, RBAC — доступ к SSH-серверам управляется через роли и политики, а не вручную через файлы authorized_keys.
Нулевое доверие
Принцип zero trust. Проверяет не только учетные данные пользователя, но и контекст: Кто запрашивает доступ? Какой сервер и с какой целью? Какие параметры у сессии (время, источник, политика MFA)?
Аутентификация без паролей
Passwordless — вместо статических паролей в дополнение к SSH-ключам используются PKI-сертификаты, которые автоматически истекают.

Что такое бастион в контексте SSH-доступа?

Вместо традиционного SSH-доступа ssh user@host на основе паролей или RSA-ключей, пользователи аутентифицируются через наш клиент tuna у нас на портале.

Далее на бастион-сервере работает аутентификация на основе сертификатов. Это штатный функционал OpenSSH, он является самым безопасным из всех, но исторически является самым сложным в настройке. И вот тут всю сложность мы берём на себя, вам же остаётся только безопасность!

После авторизации на портале, клиент генерирует RSA-ключи и публичную часть передаёт в API для доставки на бастион-серверы. Клиент также генерирует временный PKI-сертификат и он подписывается CA в портале Tuna. C RSA-ключом и сертификатом вы подключаетесь к серверу, сервер проверяет, что сертификат действителен, подписан верным CA и у пользователя, на которого выписан сертификат, достаточно прав на доступ с учётом ролей и политик.

Бастион-серверы в свою очередь тоже имеют временные сертификаты, подписанные CA, и при установке соединения клиент также проверяет валидность сервера в CA: так вы можете быть уверены, что ваш сервер — это именно ваш сервер, а не что-то подставное.

Bastion scheme

В итоге мы ничего не знаем про приватные ключи серверов и клиентов, они генерируются и хранятся локально, а значит у нас нет возможности подключиться к вашей инфраструктуре (как и злоумышленникам в случае гипотетических утечек у нас). Мы выступаем третьей стороной — хранителем CA, что подписывает сертификаты и аутентифицирует пользователя.

Отзывы о Бастионе

Как это работает?

  1. 1

    Вы запускаете tuna-bastion на своём сервере и регистрируете его в API Tuna. Генерируется пара RSA-ключей и сертификат на 30 дней, который подписывает CA, выделенный на команду в API Tuna. Приватный ключ хранится локально и никуда не передаётся, API Tuna его не знает, т.е. у нас нет доступа к вашим серверам.

  2. 2

    В панели управления my.tuna.am создаёте роль, описывающую модель доступа, и применяете к нужному пользователю.

  3. 3

    Пользователь запускает у себя команду tuna bastion login username. Генерируется пара RSA-ключей и сертификат на 12 часов, который подписывает CA, выделенный на команду в API Tuna, по аналогии с сервером. Но это происходит, только если у пользователя достаточно прав на подключения с таким логином.

Bastion scheme
  1. 4

    Пользователь запускает команду tuna bastion ssh username@hostname, и, если его сертификат валидный, сертификат сервера валидный, у пользователя достаточно прав и не наложено ограничений, то сессия устанавливается.

  2. Читать документацию →

Tuna Logo TUNA — платформа для разработчиков
Tuna Logo TUNA платформа для разработчиков

Тарифы

С годовой подпиской 2 месяца в подарок

Если по требованиям безопасности вам нужно установить ноду, через которую идет весь трафик для туннелей, внутри своей организации, напишите нам на почту info@tuna.am
Хобби
0 руб. / месяц
Разработчик
299 руб. / месяц
Команда
599 руб. за участника / месяц
Время работы туннеля
30 минут
Без ограничений
Без ограничений
Число активных туннелей, шт
1
5
5
Число статичных доменов, шт
－
10
10
Число собственных доменов, шт
－
1
1
Число статичных портов, шт
－
1
1
Возможности
Динамические поддомены
End-to-end шифрование
Let's Encrypt SSL/TLS сертификаты
Инспектор HTTP запросов
Базовая аутентификация
Встроенный файловый сервер
Доступ к API
Менеджер паролей
Передача TCP трафика
－
Встроенный SSH/SFTP сервер
－
HTTP/SMTP триггеры
－
Политики трафика
－
－
Журнал аудита
－
－
Общие пароли
－
－
Свои доменные зоны (wildcard)
－
－
Бастион
－
－
Шлюзы
－
－
Единый вход (SSO) (скоро)
－
－
Доски (скоро)
－
－
Оплата за нескольких человек
－
－
Администрирование участников команды
－
－
Протоколы и технологии
HTTP/HTTPS
GraphQL
WebSocket
Server-sent events
gRPC-Web
gRPC
－
SMTP
－
RTSP/RTP
－
RTMP
－
RDP
－
SSH
－
TCP
－
Install Tuna application

С чего начать?

Начните с установки и первичной настройки клиента - это займет не больше минуты

Быстрый старт Читать документацию

Частые вопросы о Бастионе

  1. На текущий момент Бастион доступен только в тарифе «Команда».

  2. Нет, количество Бастионов может быть любым.

  3. Способы работы с Бастионом с примерами подробно описаны в соответствующем разделе нашей документации.

Остались вопросы? Напишите нам на почту info@tuna.am или задайте вопрос в нашем Telegram-сообществе.

Единая платформа для:

  • ускорения разработки
  • упрощения командного взаимодействия
  • повышения безопасности
  • оптимизации расходов
Подробнее…

Tuna Desktop

Новый способ управлять туннелями без консоли. Установите на Windows, MacOS или Linux и начните за секунды.

Установить
Скриншот Tuna Desktop