CLOUD - IAAS - Criar acesso externo SSH para VM com sistema operacional Linux – Central de Atendimento TOTVS

Tempo aproximado para leitura: 00:10:00 min

Dúvida
Como criar um acesso externo SSH para VM com sistema operacional Linux no T-Cloud?

Ambiente
CLOUD - IAAS - Todos ambientes

Solução

Após efetuar a criação de seu ambiente IaaS, você pode acessar suas máquinas virtuais de maneira segura através do T-Cloud Remote. Confira o artigo a seguir para obter mais detalhes sobre os benefícios de utilizar o acesso através do T-Cloud Remote:

Acessando a VM IaaS através do T-Cloud Remote

Caso você queira acessar suas máquinas virtuais Linux de forma convencional através do protocolo SSH, é necessário a criação de regras de acesso através do menu de Conectividade no T-Cloud.

A criação dos recursos abaixo requer permissões específicas. Para obter mais informações sobre quais perfis de acesso possuem a permissão, acesse o artigo: Perfis de Acesso IaaS T-Cloud.

Para a criação deste acesso, é necessário a criação dos seguintes recursos:

IP Público: É necessário criar previamente um IP público para o ambiente. Os IPs públicos são de escopo do global do IaaS e podem ser associados às máquinas virtuais através da criação de regras de acesso NAT. Saiba mais...
Regra DNAT: A regra de acesso DNAT é uma regra de acesso externo que permite que o acesso originado da internet chegue em nosso ambiente de rede através de um IP público e porta externa. Esse tráfego é redirecionado para a aplicação em sua máquina virtual.
Política de Segurança (Entrada): A política de segurança faz a proteção à nível de máquina virtual onde é necessário efetuar a liberação do acesso de entrada para que o tráfego do acesso permitido na regra DNAT consiga chegar até a aplicação da máquina virtual destino.

É importante ressaltar que protocolos como o SSH são altamente explorados e sua exposição para a internet traz diversos riscos para a segurança de seu ambiente. Sugerimos que, ao criar a regra de acesso, você faça a restrição para seu(s) IP(s) de origem, garantindo que seu acesso não fique exposto à internet.

Siga os passos abaixo para saber como liberar o acesso remoto de sua máquina virtual:

1. Acesse o portal T-Cloud com suas credenciais de acesso.

2. Acesse o menu IaaS e em seguida o menu Meus Ambientes:

3. Selecione o ambiente e localize a máquina virtual que deseja liberar o acesso externo:

Você podemos localizar uma máquina virtual, buscando pelo nome na caixa de busca. Este recurso se torna útil principalmente à medida que muitas máquinas virtuais são criadas em um único ambiente.

4. No quadro Detalhes da máquina virtual, é possível identificar a informação Label, que é o campo com a informação da nomenclatura que foi escolhida para sua máquina virtual. Anote essa informação pois ela será utilizada na liberação do acesso.

5. No quadro Rede, podemos identificar a informação de IP privado da máquina virtual. Anote essa informação também pois iremos utilizar para a liberação do acesso.

6. Acesse o menu IaaS e em seguida o submenu Configurações Gerais. Ao acessar esta página, vá até a guia de Conectividade:

7. Agora iremos criar um acesso externo do tipo DNAT. Na guia Conectividade, clique em NAT e em seguida em DNAT:

8. Para iniciar a criação da regra de acesso, clique em Nova Regra:

9. Na tela "Etapa 1 - Informe a Origem Externa" de criação da regra de acesso, é necessário informar a qual será a origem do acesso. Existem duas opções de origem:

Acesso Restrito: Acesso com origem restrita, sendo necessário informar os IPs.
Todos: Acesso com origem irrestrita.

Observação: Recomendamos que para essa liberação de acesso RDP, seja selecionada a opção Acesso Restrito devido aos riscos de exposição desse tipo de acesso gerencial ser muito crítico à segurança do ambiente.

10. Ao selecionar a opção Acesso Restrito, digite seu IP de origem e clique em Adicionar.

Observação: Repita esse passo para todos os IPs que serão a origem do acesso.

11. Após concluir a inclusão de todos os IPs de origem, clique em Continuar:

12. Na tela "Etapa 2 - Informe o Destino Externo", será necessário informar o destino externo do seu ambiente, ou seja, o IP Público e a porta externa de acesso.
No campo IP Público, selecione o IP público que deseja publicar este acesso:

Observação: Caso ainda não tenha um IP público adicionado ao seu ambiente IaaS, consulte o artigo: Adicionar IP Público ao ambiente IaaS

13. Após selecionar o IP público, digite a porta externa no campo Porta Externa, clique no ícone [ + ], e depois clique em Continuar. A porta externa não precisa ser a mesma que a porta interna pois a regra DNAT faz a tradução da porta externa para a porta interna. Em nosso exemplo utilizamos a porta 2222.

17. Caso utilize o mesmo IP público para mais de uma máquina virtual, você deve selecionar portas externas diferentes para cada máquina virtual, pois não é possível utilizar a mesma porta externa para o mesmo IP público. A porta externa não precisa ser a mesma que a porta interna, pois será efetuado o redirecionamento da porta externa para a porta interna conforme a ilustração:

Considere o ip público do exemplo, como o ip público TOTVS: 181.41.168.86.

15. Na tela "Etapa 3 - Informe o Destino Interno" é necessário definir as informações do destino interno. Selecione a opção "Máquina Virtual":

16. No campo “Adicione uma Máquina Virtual” selecione a partir da lista, a máquina virtual que deseja liberar o acesso SSH, conforme exemplo abaixo:

17. No campo “Porta Interna” digite também a porta interna da aplicação SSH (Porta padrão 22), selecione o protocolo TCP e clique em Continuar:

18. Na tela "Etapa 4 - Resumo da Regra" será apresentado um resumo das opções selecionadas. Verifique as informações e clique em Salvar para iniciar a criação da regra DNAT:

19. Será apresentada a seguinte mensagem com o número da solicitação. Você poderá acompanhar o andamento da criação da regra de acesso DNAT no menu Ações, no canto superior direito da mesma tela.

20. Após concluir a criação da regra de acesso DNAT, clique no ícone "Regarrecar listagem" para atualizar as informações no T-Cloud. Você também pode seguir para a próxima etapa enquanto a regra DNAT é criada.

21. Após a conclusão da criação da regra de acesso DNAT, é necessário criar uma política de segurança para concluir a liberação do acesso SSH. Clique na guia Política de Segurança e, em seguida, clique em Entrada:

22. Para iniciar a criação da política de segurança, clique em Nova Regra:

23. Na tela "Nova Regra - Entrada", no campo Origem você deverá selecionar a opção de Todos.

Lembrando que a restrição de origem do acesso está sendo aplicada na regra de acesso DNAT.

24. No campo Destino, selecione a opção IP e insira o IP privado de sua máquina virtual, que foi anotado anteriormente na etapa 8, e clique em Continuar:

Observação: Caso você tenha mais de uma máquina virtual, você pode criar uma única regra e colocar todos os IPs privados de suas máquinas virtuais no campo destino, e também pode colocar o range de sua rede, como no exemplo acima, ficaria 10.105.0.0/24.

25. Outra opção é selecionar a opção Ambiente e selecionar o ambiente de liberação. Dessa maneira, será liberada a regra em todas as redes vinculadas ao ambiente. Este cenário pode ser utilizado para criar somente uma Política de Segurança para todas as máquinas virtuais de um ambiente ao invés de uma Política de Segurança para cada máquina virtual.

26. Na próxima tela, vamos definir informações ainda relacionadas ao destino interno. Selecione a opção "Definir portas":

27. Insira a porta interna da aplicação (em nosso exemplo é a porta padrão 22), selecione o protocolo TCP e, no campo Label, defina um nome para a regra, por exemplo “Acesso SSH” e clique em Continuar:

28. Será apresentada a tela com o resumo da política de segurança. Clique em Salvar para iniciar a criação da política de segurança:

29. Será apresentada a seguinte mensagem com o número da solicitação. Você poderá acompanhar o andamento da criação da política de segurança no menu Ações, no canto superior direito da mesma tela:

30. Com isso concluímos a criação da criação da regra de acesso DNAT e a política de segurança. Agora na etapa final vamos validar o acesso SSH à máquina virtual Linux.

Utilize um programa de conexão SSH e faça o acesso à máquina virtual.

Em nosso exemplo utilizamos o PuTTY